Ubuntu Manpage: iptables-extensions - lista de extensii din distribuția iptables standard

NUME

       iptables-extensions - lista de extensii din distribuția iptables standard

SINOPSIS

       ip6tables [-m nume [opțiuni-modul...]] [-j nume-țintă [opțiuni-țintă...]

       iptables [-m nume [opțiuni-modul...]] [-j nume-țintă [opțiuni-țintă...]

EXTENSII DE POTRIVIRE

iptables poate utiliza module extinse de potrivire a pachetelor cu opțiunile -m sau --match, urmate de
numele modulului de potrivire; după acestea, devin disponibile diverse opțiuni suplimentare de linie de
comandă, în funcție de modulul specific. Puteți specifica mai multe module de potrivire extinsă într-o
singură linie și puteți utiliza opțiunile -h sau --help după ce modulul a fost specificat pentru a primi
ajutor specific acelui modul. Modulele de potrivire extinsă sunt evaluate în ordinea în care sunt
specificate în regulă.

Dacă -p sau --protocol a fost specificată și dacă și numai dacă este întâlnită o opțiune necunoscută,
iptables va încerca să încarce un modul de potrivire cu același nume ca protocolul, pentru a încerca să
facă opțiunea disponibilă.

addrtype
Acest modul potrivește pachetele în funcție de tipul de adresă. Tipurile de adresă sunt utilizate în
cadrul stivei de rețea a nucleului și clasifică adresele în diverse grupuri. Definiția exactă a acelui
grup depinde de protocolul specific stratului trei.

Sunt posibile următoarele tipuri de adrese:

UNSPEC o adresă nespecificată (adică 0.0.0.0)

UNICAST
o adresă uni-difuzare „unicast”

LOCAL o adresă locală

BROADCAST
o adresă de difuzare în toată rețeaua „broadcast”

ANYCAST
un pachet „anycast”

MULTICAST
o adresă de difuzare multiplă (către mai multe mașini) „multicast”

BLACKHOLE
o adresă de gaură neagră „blackhole”

UNREACHABLE
o adresă inaccesibilă „unreachable”

PROHIBIT
o adresă interzisă „prohibited”

THROW FIXME

NAT FIXME

XRESOLVE

[!] --src-type tip
Se potrivește dacă adresa sursă este de tipul dat

[!] --dst-type tip
Se potrivește dacă adresa de destinație este de tipul dat

--limit-iface-in
Verificarea tipului de adresă poate fi limitată la interfața de intrare a pachetului. Această
opțiune este valabilă numai în lanțurile PREROUTING, INPUT și FORWARD. Ea nu poate fi specificată
cu opțiunea --limit-iface-out.

--limit-iface-out
Verificarea tipului de adresă poate fi limitată la interfața pe care pleacă pachetul. Această
opțiune este valabilă numai în lanțurile POSTROUTING, OUTPUT și FORWARD. Ea nu poate fi
specificată cu opțiunea --limit-iface-in.

ah (specifică IPv6)
Acest modul potrivește parametrii din antetul de autentificare al pachetelor IPsec.

[!] --ahspi spi[:spi]
Se potrivește cu SPI.

[!] --ahlen lungimea
Lungimea totală a acestui antet în octeți.

--ahres
Se potrivește dacă câmpul rezervat este completat cu zero.

ah (specifică IPv4)
Acest modul potrivește SPI-urile din antetul de autentificare al pachetelor IPsec.

[!] --ahspi spi[:spi]

bpf
Potrivire cu ajutorul filtrului de soclu Linux „Linux Socket Filter”. Așteaptă o rută către un obiect
eBPF sau un program cBPF în format zecimal.

--object-pinned ruta
Transmite o rută către un obiect eBPF fixat.

Aplicațiile încarcă programele eBPF în nucleu cu apelul de sistem bpf() și comanda BPF_PROG_LOAD și le
pot fixa într-un sistem de fișiere virtual cu BPF_OBJ_PIN. Pentru a utiliza un obiect fixat în iptables,
montați sistemul de fișiere bpf utilizând

mount -t bpf bpf ${BPF_MOUNT}

apoi inserați filtrul în iptables după rută:

iptables -A OUTPUT -m bpf --object-pinned ${BPF_MOUNT}/{PINNED_PATH} -j ACCEPT

--bytecode cod
Transmite formatul codului de octeți BPF generat de instrumentul nfbpf_compile.

Formatul codului este similar cu rezultatul comenzii «tcpdump -ddd»: o linie care stochează numărul de
instrucțiuni, urmată de o linie pentru fiecare instrucțiune. Liniile de instrucțiuni urmează modelul „u16
u8 u8 u32” în notație zecimală. Câmpurile codifică operația, decalajul de salt dacă este adevărat,
decalajul de salt dacă este fals și câmpul generic multiutilizare „K”. Comentariile nu sunt acceptate.

De exemplu, pentru a citi numai pachetele care corespund „ip proto 6”, introduceți următorul text, fără
comentarii sau spații albe:

4 # numărul de instrucțiuni
48 0 0 9 # încarcă octetul ip->proto
21 0 1 6 # salt egal cu IPPROTO_TCP
6 0 0 1 # returnează pasul (diferit de zero)
6 0 0 0 # returnează eroarea (zero)

Puteți trece acest filtru la potrivirea bpf cu următoarea comandă:

iptables -A OUTPUT -m bpf --bytecode '4,48 0 0 9,21 0 1 6,6 0 0 1,6 0 0 0' -j ACCEPT

Sau, în schimb, puteți apela instrumentul nfbpf_compile.

iptables -A OUTPUT -m bpf --bytecode "`nfbpf_compile RAW 'ip proto 6'`" -j ACCEPT

Sau utilizați «tcpdump -ddd». În acest caz, generați BPF vizând un dispozitiv cu același tip de legătură
de date ca și potrivirea xtables. Iptables trece pachetele de la nivelul de rețea în sus, fără nivelul
mac. Selectați un dispozitiv cu tipul de legătură de date RAW, cum ar fi un dispozitiv tun:

ip tuntap add tun0 mode tun
ip link set tun0 up
tcpdump -ddd -i tun0 ip proto 6

Consultați «tcpdump -L -i $dev» pentru o listă a tipurilor de legături/conexiuni de date cunoscute pentru
un anumit dispozitiv.

Este posibil să doriți să aflați mai multe despre BPF din pagina de manual bpf(4) a FreeBSD.

cgroup
[!] --path ruta
Potrivește apartenența la cgroup2.

Fiecare soclu este asociat cu cgroup-ul v2 al procesului de creare. Aceasta se potrivește cu
pachetele care provin de la sau se îndreaptă către toate soclurile din subierarhia rutei
specificate. Ruta trebuie să fie relativă la rădăcina ierarhiei cgroup2.

[!] --cgroup id-clasă
Se potrivește cu id-clasă al cgroup net_cls.

id-clasă „classid” este marcajul stabilit prin controlorul cgroup net_cls. Această opțiune și
opțiunea „--path” nu pot fi utilizate împreună.

Exemplu:

iptables -A OUTPUT -p tcp --sport 80 -m cgroup ! --path service/http-server -j DROP

iptables -A OUTPUT -p tcp --sport 80 -m cgroup ! --cgroup 1 -j DROP

IMPORTANT: atunci când este utilizată în lanțul INPUT, potrivirea cgroup are în prezent doar o
funcționalitate limitată, ceea ce înseamnă că se va potrivi doar cu pachetele care sunt procesate pentru
soclurile locale prin demultiplexarea timpurie a soclurilor. Prin urmare, utilizarea generală pe lanțul
INPUT nu este recomandată decât dacă implicațiile sunt bine înțelese.

Disponibilă începând cu Linux 3.14.

cluster
Vă permite să implementați clustere de partajare a încărcării porții de acces și a serverului „back-end”
fără a avea nevoie de echilibratori de încărcare.

Această potrivire necesită ca toate nodurile să vadă aceleași pachete. Astfel, potrivirea clusterului
decide dacă acest nod trebuie să gestioneze un pachet având în vedere următoarele opțiuni:

--cluster-total-nodes număr
Stabilește numărul total de noduri din cluster.

[!] --cluster-local-node număr
Stabilește ID-ul numărului nodului local.

[!] --cluster-local-nodemask masca
Stabilește masca ID a numărului nodului local. Puteți utiliza această opțiune în loc de opțiunea
--cluster-local-node.

--cluster-hash-seed valoare
Stabilește valoarea seminței sumei de control (hash) a funcției Jenkins.

Exemplu:

iptables -A PREROUTING -t mangle -i eth1 -m cluster --cluster-total-nodes 2 --cluster-local-node 1
--cluster-hash-seed 0xdeadbeef -j MARK --set-mark 0xffff

iptables -A PREROUTING -t mangle -i eth2 -m cluster --cluster-total-nodes 2 --cluster-local-node 1
--cluster-hash-seed 0xdeadbeef -j MARK --set-mark 0xffff

iptables -A PREROUTING -t mangle -i eth1 -m mark ! --mark 0xffff -j DROP

iptables -A PREROUTING -t mangle -i eth2 -m mark ! --mark 0xffff -j DROP

Și următoarele comenzi pentru a face ca toate nodurile să vadă aceleași pachete:

ip maddr add 01:00:5e:00:01:01 dev eth1

ip maddr add 01:00:5e:00:01:02 dev eth2

arptables -A OUTPUT -o eth1 --h-length 6 -j mangle --mangle-mac-s 01:00:5e:00:01:01

arptables -A INPUT -i eth1 --h-length 6 --destination-mac 01:00:5e:00:01:01 -j mangle
--mangle-mac-d 00:zz:yy:xx:5a:27

arptables -A OUTPUT -o eth2 --h-length 6 -j mangle --mangle-mac-s 01:00:5e:00:01:02

arptables -A INPUT -i eth2 --h-length 6 --destination-mac 01:00:5e:00:01:02 -j mangle
--mangle-mac-d 00:zz:yy:xx:5a:27

NOTAȚIE: comenzile arptables de mai sus utilizează sintaxa dezvoltatorilor principali. Dacă utilizați
arptables-jf inclus în unele versiuni RedHat, CentOS și Fedora, vă veți lovi de erori de sintaxă. Prin
urmare, va trebui să le adaptați la sintaxa arptables-jf pentru a le face să funcționeze.

În cazul conexiunilor TCP, facilitatea de preluare trebuie să fie dezactivată pentru a evita marcarea ca
valide a pachetelor TCP ACK care vin în direcția de răspuns.

echo 0 > /proc/sys/net/netfilter/nf_conntrack_tcp_loose

comment
Vă permite să adăugați comentarii (până la 256 de caractere) la orice regulă.

--comment comentariu

Exemplu:
iptables -A INPUT -i eth1 -m comment --comment "my local LAN"

connbytes
Potrivește în funcție de numărul de octeți sau pachete pe care o conexiune (sau unul dintre cele două
fluxuri care constituie conexiunea) le-a transferat până în prezent sau în funcție de numărul mediu de
octeți pe pachet.

Contoarele sunt pe 64 de biți și, prin urmare, nu este de așteptat să se debordeze ;)

Principala utilizare este detectarea descărcărilor de lungă durată și marcarea acestora pentru a fi
programate folosind o bandă de prioritate inferioară în controlul traficului.

Octeții transferați pe conexiune pot fi vizualizați și prin «conntrack -L» și accesați prin «ctnetlink».

OBSERVAȚI că pentru conexiunile care nu au informații contabile, potrivirea va returna întotdeauna fals.
Fanionul sysctl „net.netfilter.nf_conntrack_acct” controlează dacă conexiunile new vor fi numărate în
octeți/pachete. Fluxurile de conexiuni existente nu vor câștiga/pierde o/structura de contabilizare
atunci când fanionul sysctl be este inversat.

[!] --connbytes from[:to]
potrivește pachetele de la o conexiune ale cărei pachete/octeți/mărime medie a pachetelor este mai
mare decât FROM și mai mică decât TO octeți/pachete. dacă TO este omis, se face doar verificarea
FROM. „!” se utilizează pentru a potrivi pachetele care nu se încadrează în interval.

--connbytes-dir {original|reply|both}
ce pachete trebuie luate în considerare

--connbytes-mode {packets|bytes|avgpkt}
dacă se verifică cantitatea de pachete, numărul de octeți transferați sau dimensiunea medie (în
octeți) a tuturor pachetelor primite până în prezent. Rețineți că atunci când „both” este utilizat
împreună cu „avgpkt”, iar datele circulă (în principal) într-o singură direcție (de exemplu HTTP),
dimensiunea medie a pachetelor va fi aproximativ jumătate din pachetele de date reale.

Exemplu:
iptables .. -m connbytes --connbytes 10000:100000 --connbytes-dir both --connbytes-mode bytes ...

connlabel
Modulul potrivește sau adaugă connlabels la o conexiune. connlabels sunt similare cu connmarks, cu
excepția faptului că etichetele sunt bazate pe biți; adică toate etichetele pot fi atașate unui flux în
același timp. În prezent sunt acceptate până la 128 de etichete unice.

[!] --label nume
potrivește dacă eticheta numele a fost definită pe o conexiune. În locul unui nume (care va fi
tradus într-un număr, a se vedea EXEMPLUL de mai jos), poate fi utilizat un număr. Utilizarea
unui număr prevalează întotdeauna asupra connlabel.conf.

--set dacă eticheta nu a fost definită pe conexiune, definiți-o. Rețineți că definirea unei etichete
poate eșua. Acest lucru se datorează faptului că nucleul alocă zona de stocare a etichetei
conntrack atunci când este creată conexiunea și rezervă doar cantitatea de memorie necesară
setului de reguli care există în momentul creării conexiunii. În acest caz, potrivirea va eșua
(sau va reuși, în cazul în care opțiunea --label a fost negată).

Această potrivire depinde de libnetfilter_conntrack 1.0.4 sau ulterior. Traducerea etichetelor se face
prin intermediul fișierului de configurare /etc/xtables/connlabel.conf.

Exemplu:

0 eth0-in
1 eth0-out
2 ppp-in
3 ppp-out
4 bulk-traffic
5 interactive

connlimit
Vă permite să restricționați numărul de conexiuni paralele la un server per adresă IP client (sau bloc de
adrese client).

--connlimit-upto n
Se potrivește dacă numărul de conexiuni existente este mai mic sau egal cu n.

--connlimit-above n
Se potrivește dacă numărul de conexiuni existente este mai mare decât n.

--connlimit-mask lungime-prefix
Grupează gazdele folosind lungimea prefixului. Pentru IPv4, acesta trebuie să fie un număr cuprins
între (inclusiv) 0 și 32. Pentru IPv6, între 0 și 128. Dacă nu este specificată, se utilizează
lungimea maximă a prefixului pentru protocolul aplicabil.

--connlimit-saddr
Aplică limita asupra grupului sursă. Aceasta este valoarea implicită dacă nu este specificată
opțiunea „--connlimit-daddr”.

--connlimit-daddr
Aplică limita pe grupul de destinație.

Exemple:

• permite 2 conexiuni telnet pentru fiecare gazdă client
iptables -A INPUT -p tcp --syn --dport 23 -m connlimit --connlimit-above 2 -j REJECT

• se poate face și invers:
iptables -A INPUT -p tcp --syn --dport 23 -m connlimit --connlimit-upto 2 -j ACCEPT

• limitează numărul de cereri HTTP paralele la 16 per rețea sursă de clasă C (mască de rețea de 24 de
biți)
iptables -p tcp --syn --dport 80 -m connlimit --connlimit-above 16 --connlimit-mask 24 -j REJECT

• limitează numărul de cereri HTTP paralele la 16 pentru conexiunea la rețeaua locală
ip6tables -p tcp --syn --dport 80 -s fe80::/64 -m connlimit --connlimit-above 16 --connlimit-mask 64
-j REJECT

• Limitează numărul de conexiuni la o anumită gazdă:
ip6tables -p tcp --syn --dport 49152:65535 -d 2001:db8::1 -m connlimit --connlimit-above 100 -j
REJECT

connmark
Acest modul se potrivește cu câmpul de marcaj netfilter asociat unei conexiuni (care poate fi definit
utilizând ținta CONNMARK de mai jos).

[!] --mark valoare[/masca]
Potrivește pachetele din conexiuni cu valoarea de marcare dată (dacă este specificată o mască,
aceasta este logic AND cu marca înainte de comparație).

conntrack
Acest modul, atunci când este combinat cu urmărirea conexiunii, permite accesul la starea de urmărire a
conexiunii pentru acest pachet/conexiune.

[!] --ctstate listă-stare
listă-stare este o listă separată prin virgule a stărilor conexiunii care trebuie să corespundă.
Stările posibile sunt enumerate mai jos.

[!] --ctproto l4proto
Protocolul Layer-4 care trebuie să corespundă (după număr sau nume)

[!] --ctorigsrc adresa[/masca]

[!] --ctorigdst adresa[/masca]

[!] --ctreplsrc adresa[/masca]

[!] --ctrepldst adresa[/masca]
Potrivire cu adresa sursă/destinație originală/replică

[!] --ctorigsrcport port[:port]

[!] --ctorigdstport port[:port]

[!] --ctreplsrcport port[:port]

[!] --ctrepldstport port[:port]
Potrivire în funcție de portul sursă/destinație original/răspuns (TCP/UDP/etc.) sau de cheia GRE.
Potrivirea în funcție de intervalele de porturi este acceptată numai în versiunile de nucleu mai
mari de 2.6.38.

[!] --ctstatus listă-stare
listă-stare este o listă separată prin virgule a stărilor conexiunii care trebuie să corespundă.
Stările posibile sunt enumerate mai jos.

[!] --ctexpire timp[:timp]
Potrivește durata de viață rămasă în secunde cu o valoare dată sau un interval de valori
(inclusiv)

--ctdir {ORIGINAL|REPLY}
Potrivește pachetele care circulă în direcția specificată. Dacă acest fanion nu este specificat
deloc, se potrivesc pachetele în ambele direcții.

Stări pentru --ctstate:

INVALID
Pachetul nu este asociat cu nicio conexiune cunoscută.

NEW Pachetul a inițiat o conexiune nouă sau a fost asociat cu o conexiune care nu a primit pachete în
ambele direcții.

ESTABLISHED
Pachetul este asociat cu o conexiune care a văzut pachete în ambele direcții.

RELATED
Pachetul începe o conexiune nouă, dar este asociat cu o conexiune existentă, cum ar fi un transfer
de date FTP sau o eroare ICMP.

UNTRACKED
Pachetul nu este urmărit deloc, ceea ce se întâmplă dacă îl anulați în mod explicit folosind „-j
CT --notrack” în tabelul brut.

SNAT O stare virtuală, care se potrivește dacă adresa sursă inițială diferă de destinația răspunsului.

DNAT O stare virtuală, care se potrivește dacă destinația inițială diferă de sursa răspunsului.

Stări pentru --ctstatus:

NONE Niciuna dintre cele de mai jos.

EXPECTED
Aceasta este o conexiune așteptată (adică un asistent conntrack a configurat-o).

SEEN_REPLY
Conntrack a văzut pachete în ambele direcții.

ASSURED
Intrarea conntrack nu trebuie să fie niciodată expirată înainte de termen.

CONFIRMED
Conexiunea este confirmată: pachetul de origine a părăsit locația.

cpu
[!] --cpu număr
Potrivește cpu-ul care gestionează acest pachet. cpu-urile sunt numerotate de la 0 la NR_CPU-1
Poate fi utilizat în combinație cu RPS (Remote Packet Steering) sau cu NIC-uri cu multiple cozi
pentru a repartiza traficul de rețea pe cozi diferite.

Exemplu:

iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 0 -j REDIRECT --to-ports 8080

iptables -t nat -A PREROUTING -p tcp --dport 80 -m cpu --cpu 1 -j REDIRECT --to-ports 8081

Disponibilă începând cu Linux 2.6.36.

dccp
[!] --source-port,--sport port[:port]

[!] --destination-port,--dport port[:port]

[!] --dccp-types masca
Potrivește atunci când tipul de pachet DCCP este unul dintre „mask”. „mask” este o listă de tipuri
de pachete separate prin virgule. Tipurile de pachete sunt: REQUEST RESPONSE DATA ACK DATAACK
CLOSEREQ CLOSE RESET SYNC SYNCACK INVALID.

[!] --dccp-option număr
Se potrivește dacă este definită opțiunea DCCP.

devgroup
Potrivește grupul de dispozitive al interfeței de intrare/ieșire a unui pachet.

[!] --src-group nume
Potrivește grupul de dispozitive al dispozitivului de intrare

[!] --dst-group nume
Potrivește grupul de dispozitive al dispozitivului de ieșire

dscp
Acest modul corespunde câmpului DSCP de 6 biți din câmpul TOS din antetul IP. DSCP a înlocuit TOS în
cadrul IETF.

[!] --dscp valoare
Potrivire cu o valoare numerică (zecimală sau hexazecimală) 0-63.

[!] --dscp-class clasa
Potrivește clasa DiffServ. Această valoare poate fi oricare dintre clasele BE, EF, AFxx sau CSx.
Aceasta va fi apoi convertită în valoarea sa numerică corespunzătoare.

dst (specific IPv6)
Acest modul corespunde parametrilor din antetul opțiunilor de destinație

[!] --dst-len lungime
Lungimea totală a acestui antet în octeți.

--dst-opts tip[:lungime][,tip[:lungime]...]
tipul numeric al opțiunii și lungimea datelor opțiunii în octeți.

ecn
Acest lucru vă permite să potriviți biții ECN din antetul IPv4/IPv6 și TCP. ECN este mecanismul de
notificare explicită a congestiei, astfel cum este specificat în RFC3168

[!] --ecn-tcp-cwr
Aceasta se potrivește dacă bitul TCP ECN CWR (Congestion Window Received) este activat.

[!] --ecn-tcp-ece
Aceasta se potrivește dacă bitul TCP ECN ECE (ECN Echo) este activat.

[!] --ecn-ip-ect număr
Aceasta se potrivește cu un anumit IPv4/IPv6 ECT (ECN-Capable Transport). Trebuie să specificați
un număr între „0” și „3”.

esp
Acest modul potrivește SPI-urile din antetul ESP al pachetelor IPsec.

[!] --espspi spi[:spi]

eui64 (specific IPv6)
Acest modul potrivește partea EUI-64 a unei adrese IPv6 autoconfigurate stateless. Acesta compară EUI-64
derivat din adresa MAC sursă din cadrul Ethernet cu cei 64 de biți inferiori ai adresei sursă IPv6. Dar
bitul „Universal/Local” nu este comparat. Acest modul nu se potrivește cu alte cadre de strat de legătură
și este valabil numai în lanțurile PREROUTING, INPUT și FORWARD.

frag (specific IPv6)
Acest modul potrivește parametrii din antetul Fragment.

[!] --fragid id[:id]
Potrivește identificarea dată sau un interval al acesteia.

[!] --fraglen lungime
Această opțiune nu poate fi utilizată cu versiunea de nucleu 2.6.10 sau ulterioară. Lungimea
antetului Fragment este statică și această opțiune nu are sens.

--fragres
Se potrivește dacă câmpurile rezervate sunt completate cu zero.

--fragfirst
Se potrivește cu primul fragment.

--fragmore
Se potrivește dacă există mai multe fragmente.

--fraglast
Se potrivește dacă acesta este ultimul fragment.

hashlimit
hashlimit utilizează „găleți” hash pentru a exprima o potrivire de limitare a ratei (precum potrivirea
limitei) pentru un grup de conexiuni utilizând o singură regulă iptables. Gruparea se poate face pe grup
de gazde (adresă sursă și/sau destinație) și/sau pe port. Aceasta vă oferă posibilitatea de a exprima „N
pachete per măsură-timp per grup” sau „N octeți per secundă” (a se vedea mai jos pentru câteva exemple).

Sunt necesare opțiunile de limită hash (--hashlimit-upto, --hashlimit-above) și --hashlimit-name.

--hashlimit-upto cantitate[/second|/minute|/hour|/day]
Se potrivește dacă rata este mai mică sau egală cu cantitatea/măsură-timp. Aceasta este
specificată fie ca număr, cu un sufix opțional de măsură-timp de timp (valoarea implicită este
3/oră), fie ca amountb/secundă (număr de octeți pe secundă).

--hashlimit-above cantitate[/second|/minute|/hour|/day]
Se potrivește dacă rata este mai mare de cantitate/măsură-timp.

--hashlimit-burst cantitate
Numărul inițial maxim de pachete pentru potrivire: acest număr se reîncarcă cu unu de fiecare dată
când limita specificată mai sus nu este atinsă, până la acest număr; valoarea implicită este 5.
Atunci când se solicită potrivirea ratei pe bază de octeți, această opțiune specifică cantitatea
de octeți care poate depăși rata dată. Această opțiune trebuie utilizată cu prudență - dacă
intrarea expiră, valoarea burst este și ea reinițializată.

--hashlimit-mode {srcip|srcport|dstip|dstport},...
O listă separată prin virgule de obiecte care trebuie luate în considerare. Dacă nu este furnizată
opțiunea „--hashlimit-mode”, hashlimit acționează ca limită, dar la prețul de a face curățenie în
hash.

--hashlimit-srcmask prefix
Atunci când se utilizează „--hashlimit-mode srcip”, toate adresele sursă întâlnite vor fi grupate
în funcție de lungimea prefixului dat, iar subrețeaua astfel creată va fi supusă hashlimit. prefix
trebuie să fie între (inclusiv) 0 și 32. Rețineți că „--hashlimit-srcmask 0” face practic același
lucru ca și nespecificarea «srcip» pentru „--hashlimit-mode”, dar este tehnic mai costisitor.

--hashlimit-dstmask prefix
Ca „--hashlimit-srcmask”, dar pentru adresele de destinație.

--hashlimit-name foo
Numele pentru intrarea /proc/net/ipt_hashlimit/foo.

--hashlimit-htable-size găleți
Numărul de găleți ale tabelului hash

--hashlimit-htable-max intrări
Numărul maxim de intrări în tabelul hash.

--hashlimit-htable-expire msec
După câte milisecunde expiră intrările hash.

--hashlimit-htable-gcinterval msec
Câte milisecunde sunt între intervalele de colectare a gunoiului.

--hashlimit-rate-match
Clasificarea fluxului în loc de limitarea ratei acestuia. Aceasta acționează ca o potrivire
adevărat/fals dacă rata este mai mare/mai mică decât un anumit număr

--hashlimit-rate-interval sec
Poate fi utilizată cu „--hashlimit-rate-match” pentru a specifica intervalul la care rata ar
trebui să fie eșantionată

Exemple:

potrivire pe gazda sursă
„1000 de pachete pe secundă pentru fiecare gazdă din 192.168.0.0/16” => -s 192.168.0.0/16
--hashlimit-mode srcip --hashlimit-upto 1000/sec

potrivire pe portul sursă
„100 de pachete pe secundă pentru fiecare serviciu de la 192.168.1.1” => -s 192.168.1.1
--hashlimit-mode srcport --hashlimit-upto 100/sec

potrivire pe subrețea
„10000 de pachete pe minut pentru fiecare subrețea /28 (grupuri de 8 adrese) din 10.0.0.0/8” => -s
10.0.0.0/8 --hashlimit-mask 28 --hashlimit-upto 10000/min

potrivire de octeți pe secundă
„fluxuri care depășesc 512kocteți/s" => --hashlimit-mode srcip,dstip,srcport,dstport
--hashlimit-above 512kb/s

potrivire de octeți pe secundă
„gazde care depășesc 512kocteți/s, dar permit până la 1Megaocteți fără potrivire” --hashlimit-mode
dstip --hashlimit-above 512kb/s --hashlimit-burst 1mb

hbh (specific IPv6)
Acest modul corespunde parametrilor din antetul de opțiuni Hop-by-Hop

[!] --hbh-len lungime
Lungimea totală a acestui antet în octeți.

--hbh-opts tip[:lungime][,tip[:lungime]...]
tipul numeric al opțiunii și lungimea datelor opțiunii în octeți.

helper
Acest modul potrivește pachetele legate de un anumit asistent conntrack.

[!] --helper șir
Potrivește pachetele referitoare la asistentul conntrack specificat.

șirul poate fi „ftp” pentru pachetele referitoare la o sesiune ftp pe portul implicit. Pentru alte
porturi, adăugați „--portnr” la valoare, adică „ftp-2121”.

Aceleași reguli se aplică și pentru ceilalți asistenți conntrack.

hl (specific IPv6)
Acest modul corespunde câmpului Hop Limit din antetul IPv6.

[!] --hl-eq valoare
Se potrivește dacă limita Hop este egală cu valoare.

--hl-lt valoare
Se potrivește dacă limita Hop este mai mică decât valoare.

--hl-gt valoare
Se potrivește dacă limita Hop este mai mare decât valoare.

icmp (specific IPv4)
Această extensie poate fi utilizată dacă este specificat „--protocol icmp”. Aceasta oferă următoarea
opțiune:

[!] --icmp-type {tip[/cod]|nume-tip}
Aceasta permite specificarea tipului ICMP, care poate fi un tip ICMP numeric, o pereche tip/cod
sau una dintre denumirile tipului ICMP afișate de comanda
iptables -p icmp -h

icmp6 (specific IPv6)
Această extensie poate fi utilizată dacă se specifică „---protocol ipv6-icmp” sau „---protocol icmpv6”.
Aceasta oferă următoarea opțiune:

[!] --icmpv6-type tip[/cod]|nume-tip
Aceasta permite specificarea tipului ICMPv6, care poate fi un ICMPv6 numeric tip, tip și cod, sau
una dintre denumirile tipului ICMPv6 afișate de comanda
ip6tables -p ipv6-icmp -h

iprange
Aceasta se potrivește cu un anumit interval arbitrar de adrese IP.

[!] --src-range de-la[-la]
Potrivește IP-ul sursă în intervalul specificat.

[!] --dst-range de-la[-la]
Potrivește IP-ul destinației în intervalul specificat.

ipv6header (specific IPv6)
Acest modul corespunde antetelor de extensie IPv6 și/sau antetelor de nivel(strat) superior.

--soft Potrivește dacă pachetul include any din antetele specificate cu --header.

[!] --header antet[,antet...]
Potrivește pachetul care include EXACT toate antetele specificate. Antetele încapsulate cu antetul
ESP sunt excluse din domeniu. Tipurile posibile de antet pot fi:

hop|hop-by-hop
Antetul de opțiuni Hop-by-Hop

dst Antetul de opțiuni destinație

route Antetul de direcționare

frag Antetul fragmentelor

auth Antetul de autentificare

esp Antetul încapsulării sarcinii de securitate (Encapsulating Security Payload)

none Niciun antet Next(următor) care să corespundă cu 59 din câmpul antetul următor „Next Header field”
al antetului IPv6 sau orice antet de extensie IPv6

prot care se potrivește cu orice antet de protocol de nivel(strat) superior. De asemenea, sunt permise
un nume de protocol din „/etc/protocols” și o valoare numerică. Numărul 255 este echivalent cu
prot.

ipvs
Potrivește proprietățile conexiunii IPVS.

[!] --ipvs
pachetul aparține unei conexiuni IPVS

Oricare dintre următoarele opțiuni implică opțiunea „--ipvs” (chiar și negată)

[!] --vproto protocol
Protocolul VIP care urmează să se potrivească; prin număr sau nume, de exemplu „tcp”

[!] --vaddr adresa[/masca]
Adresa VIP pentru potrivire

[!] --vport port
Portul VIP care trebuie să corespundă; prin număr sau nume, de exemplu „http”

--vdir {ORIGINAL|REPLY}
direcția fluxului pachetului

[!] --vmethod {GATE|IPIP|MASQ}
Metoda de redirecționare IPVS utilizată

[!] --vportctl port
Portul VIP al conexiunii de control care trebuie să corespundă, de exemplu 21 pentru FTP

length
Acest modul potrivește lungimea încărcăturii utile de nivel 3 (de exemplu, pachetul de nivel 4) a unui
pachet cu o anumită valoare sau gamă de valori.

[!] --length lungimea[:lungimea]

limit
Acest modul se potrivește la o rată limitată utilizând un filtru de tip „token bucket”. O regulă care
utilizează această extensie se va potrivi până când această limită este atinsă. Poate fi utilizat în
combinație cu ținta LOG pentru a oferi o jurnalizare limitată, de exemplu.

xt_limit nu acceptă negarea - va trebui să utilizați „-m hashlimit ! --hashlimit rate” în acest caz,
omițând în același timp „--hashlimit-mode”.

--limit rata[/second|/minute|/hour|/day]
Rata medie maximă de potrivire: specificată ca număr, cu un sufix opțional „/second”, „/minute”,
„/hour” sau „/day”; valoarea implicită este 3/hour.

--limit-burst număr
Numărul inițial maxim de pachete care se potrivesc: acest număr se reîncarcă cu unu de fiecare
dată când limita specificată mai sus nu este atinsă, până la acest număr; valoarea implicită este
5.

mac
[!] --mac-source adresa
Potrivește adresa MAC sursă. Aceasta trebuie să fie de forma XX:XX:XX:XX:XX:XX:XX. Rețineți că
acest lucru are sens numai pentru pachetele care provin de la un dispozitiv Ethernet și intră în
lanțurile PREROUTING, FORWARD sau INPUT.

mark
Acest modul corespunde câmpului de marcaj netfilter asociat unui pachet (care poate fi definit utilizând
ținta MARK de mai jos).

[!] --mark valoare[/masca]
Potrivește pachetele cu valoarea marcajului fără semn dată (dacă este specificată o mască, aceasta
este logic AND corelată cu masca înainte de comparație).

mh (specific IPv6)
Această extensie este încărcată dacă se specifică „---protocol ipv6-mh” sau „---protocol mh”. Aceasta
oferă următoarea opțiune:

[!] --mh-type tip[:tip]
Aceasta permite specificarea tipului de antet de mobilitate (MH), care poate fi un MH numeric tip,
tip sau una dintre denumirile de tip MH afișate de comanda
ip6tables -p mh -h

multiport
Acest modul se potrivește cu un set de porturi sursă sau destinație. Pot fi specificate până la 15
porturi. Un interval de porturi (port:port) contează ca două porturi. Poate fi utilizat numai împreună cu
unul dintre următoarele protocoale: tcp, udp, udplite, dccp și sctp.

[!] --source-ports,--sports port[,port|,port:port]...
Se potrivește dacă portul sursă este unul dintre porturile date. Indicatorul --sports este un
alias convenabil pentru această opțiune. Mai multe porturi sau intervale de porturi sunt separate
prin virgulă, iar un interval de porturi este specificat prin două puncte. Prin urmare,
53,1024:65535 ar corespunde porturilor 53 și tuturor porturilor de la 1024 la 65535.

[!] --destination-ports,--dports port[,port|,port:port]...
Se potrivește dacă portul de destinație este unul dintre porturile date. Indicatorul --dports este
un alias convenabil pentru această opțiune.

[!] --ports port[,port|,port:port]...
Se potrivește dacă porturile sursă sau destinație sunt egale cu unul dintre porturile date.

nfacct
Potrivirea nfacct furnizează infrastructura de contabilizare extinsă pentru iptables. Trebuie să
utilizați această potrivire împreună cu utilitatea autonomă din spațiul utilizatorului nfacct(8)

Singura opțiune disponibilă pentru această potrivire este următoarea:

--nfacct-name nume
Aceasta vă permite să specificați numele obiectului existent care va fi utilizat pentru
contabilizarea traficului care corespunde acestui set de reguli.

Pentru a utiliza această extensie, trebuie să creați un obiect contabil:

nfacct add http-traffic

Apoi, trebuie să îl atașați la obiectul contabil prin iptables:

iptables -I INPUT -p tcp --sport 80 -m nfacct --nfacct-name http-traffic

iptables -I OUTPUT -p tcp --dport 80 -m nfacct --nfacct-name http-traffic

Apoi, puteți verifica cantitatea de trafic care corespunde regulilor:

nfacct get http-traffic

{ pkts = 00000000000000000156, bytes = 00000000000000151786 } = http-traffic;

Puteți obține nfacct(8) de la https://www.netfilter.org sau, alternativ, din depozitul git.netfilter.org.

osf
Modulul osf realizează amprentarea pasivă a sistemului de operare. Acest modul compară anumite date
(dimensiunea ferestrei, MSS, opțiunile și ordinea lor, TTL, DF și altele) din pachetele cu bitul SYN
activat.

[!] --genre șir
Potrivește un gen de sistem de operare folosind o amprentă pasivă.

--ttl nivel
Efectuează verificări TTL suplimentare asupra pachetului pentru a determina sistemul de operare.
nivel poate fi una dintre următoarele valori:

0 Comparație TTL reală între adresa IP și amprenta digitală. Aceasta funcționează în general
pentru LAN-uri.

1 Verifică dacă TTL-ul antetului IP este mai mic decât cel al amprentei. Funcționează pentru
adresele ce pot fi direcționate la nivel global.

2 Nu compară deloc TTL--ul.

--log nivel
Înregistrează genurile determinate în dmesg chiar dacă acestea nu corespund cu cel dorit. nivel
poate fi una dintre următoarele valori:

0 Înregistrează toate semnăturile care corespund sau necunoscute

1 Înregistrează numai prima

2 Înregistrează toate semnăturile cunoscute care corespund

Este posibil să găsiți așa ceva în syslog:

Windows [2000:SP3:Windows XP Pro SP1, 2000 SP3]: 11.22.33.55:4024 -> 11.22.33.44:139 hops=3 Linux
[2.5-2.6:] : 1.2.3.4:42624 -> 1.2.3.5:22 hops=4

Amprentele de SO pot fi încărcate cu ajutorul programului nfnl_osf. Pentru a încărca amprente digitale
dintr-un fișier, utilizați:

nfnl_osf -f /usr/share/xtables/pf.os

Pentru a le elimina din nou,

nfnl_osf -f /usr/share/xtables/pf.os -d

Baza de date privind amprentele digitale poate fi descărcată de la
http://www.openbsd.org/cgi-bin/cvsweb/src/etc/pf.os .

owner
Acest modul încearcă să corespundă diferitelor caracteristici ale creatorului pachetului, pentru
pachetele generate local. Această potrivire este valabilă numai în lanțurile OUTPUT și POSTROUTING.
Pachetele transmise nu au niciun soclu asociat cu ele. Pachetele provenite de la firele de execuție ale
nucleului au un soclu, dar de obicei nu au proprietar.

[!] --uid-owner nume-utilizator

[!] --uid-owner id-utilizator[-id-utilizator]
Verifică dacă structura de fișiere a soclului de pachete (dacă are una) este deținută de
utilizatorul dat. De asemenea, puteți specifica un UID numeric sau un interval UID.

[!] --gid-owner nume-grup

[!] --gid-owner id-grup[-id-gru]
Verifică dacă structura de fișiere a soclului de pachete este deținută de grupul dat. De asemenea,
puteți specifica un GID numeric sau un interval GID.

--suppl-groups
Face ca grupul sau grupurile specificate cu --gid-owner să fie verificate și în grupurile
suplimentare ale unui proces.

[!] --socket-exists
Verifică dacă pachetul este asociat cu un soclu.

physdev
Acest modul se potrivește cu dispozitivele de intrare și ieșire ale portului de punte aservite unui
dispozitiv de punte. Acest modul face parte din infrastructura care permite un paravan de protecție IP cu
punte transparentă și este util numai pentru versiunile de nucleu mai mari de versiunea 2.5.44.

[!] --physdev-in nume
Numele unui port de punte prin care este primit un pachet (numai pentru pachetele care intră în
lanțurile INPUT, FORWARD și PREROUTING). Dacă numele interfeței se termină cu un „+”, atunci se va
potrivi orice interfață care începe cu acest nume. Dacă pachetul nu a ajuns printr-un dispozitiv
punte, acest pachet nu va corespunde acestei opțiuni, cu excepția cazului în care se utilizează
„!”.

[!] --physdev-out nume
Numele unui port de punte prin care va fi trimis un pachet (pentru pachetele de punte care intră
în lanțurile FORWARD și POSTROUTING). Dacă numele interfeței se termină cu un „+”, atunci se va
potrivi orice interfață care începe cu acest nume.

[!] --physdev-is-in
Se potrivește dacă pachetul a intrat printr-o interfață punte.

[!] --physdev-is-out
Se potrivește dacă pachetul va pleca printr-o interfață punte.

[!] --physdev-is-bridged
Verifică dacă pachetul este conectat prin punte și, prin urmare, nu este direcționat. Acest lucru
este util numai în lanțurile FORWARD și POSTROUTING.

pkttype
Acest modul corespunde tipului de pachet din stratul de legătură(conexiune).

[!] --pkt-type {unicast|broadcast|multicast}

policy
Acest modul se potrivește cu politica utilizată de IPsec pentru gestionarea unui pachet.

--dir {in|out}
Utilizat pentru a selecta dacă să se potrivească politica utilizată pentru decapsulare sau
politica care va fi utilizată pentru încapsulare. in este valabil în lanțurile PREROUTING, INPUT
și FORWARD, out este valabil în lanțurile POSTROUTING, OUTPUT și FORWARD.

--pol {none|ipsec}
Verifică dacă pachetul este supus procesării IPsec. --pol none nu poate fi combinată cu --strict.

--strict
Selectează dacă să se potrivească cu politica exactă sau să se potrivească dacă orice regulă a
politicii se potrivește cu politica dată.

Pentru fiecare element de politică care urmează să fie descris, se pot utiliza una sau mai multe dintre
următoarele opțiuni. Atunci când --strict este în vigoare, trebuie utilizată cel puțin una pentru fiecare
element.

[!] --reqid id
Se potrivește cu reqid-ul regulii de politică. Reqid poate fi specificat cu setkey(8) folosind
unique:id ca nivel.

[!] --spi spi
Se potrivește cu SPI al SA.

[!] --proto {ah|esp|ipcomp}
Potrivește protocolul de încapsulare.

[!] --mode {tunnel|transport}
Potrivește modul de încapsulare.

[!] --tunnel-src adresa[/masca]
Se potrivește cu adresa punctului final sursă al unui SA în mod tunel. Valabilă numai cu --mode
tunnel.

[!] --tunnel-dst adresa[/masca]
Se potrivește cu adresa punctului final de destinație al unui SA în mod tunel. Valabilă numai cu
--mode tunnel.

--next Începe următorul element din specificația politicii. Poate fi utilizată numai cu --strict.

quota
Implementează cotele de rețea prin decrementarea unui contor de octeți cu fiecare pachet. Condiția se
potrivește până când contorul de octeți ajunge la zero. Comportamentul este inversat în cazul negației
(de exemplu, condiția nu corespunde până când contorul de octeți ajunge la zero).

[!] --quota octeți
Cota exprimată în octeți.

rateest
Estimatorul de rată se poate potrivi cu ratele estimate colectate de obiectivul RATEEST. Acesta acceptă
potrivirea pe baza valorilor absolute bps/pps, compararea a două estimatoare de rată și potrivirea pe
baza diferenței dintre două estimatoare de rată.

Pentru o mai bună înțelegere a opțiunilor disponibile, acestea sunt toate combinațiile posibile:

Absolută

• rateest operator rateest-bps

• rateest operator rateest-pps

Absolută + Delta:

• (rateest minus rateest-bps1) operator rateest-bps2

• (rateest minus rateest-pps1) operator rateest-pps2

Relativă:

• rateest1 operator rateest2 rateest-bps(fără rată!)

• rateest1 operator rateest2 rateest-pps(fără rată!)

Relativă + Delta:

• (rateest1 minus rateest-bps1) operator (rateest2 minus rateest-bps2)

• (rateest1 minus rateest-pps1) operator (rateest2 minus rateest-pps2)

--rateest-delta
Pentru fiecare estimator (în mod absolut sau relativ), se calculează diferența dintre debitul
determinat de estimator și valoarea statică aleasă cu opțiunile BPS/PPS. Dacă debitul este mai mare
decât BPS/PPS specificat, se va utiliza 0 în loc de o valoare negativă. Cu alte cuvinte, se
utilizează „max(0, rateest#_rate - rateest#_bps)”.

[!] --rateest-lt
Se potrivește dacă rata este mai mică decât rata/estimatorul dat.

[!] --rateest-gt
Se potrivește dacă rata este mai mare decât rata/estimatorul dat.

[!] --rateest-eq
Se potrivește dacă rata este egală cu rata/estimatorul dat.

În așa-numitul „mod absolut”, se utilizează un singur estimator de rată și se compară cu o valoare
statică, în timp ce în „modul relativ”, doi estimatori de rată sunt comparați unul cu celălalt.

--rateest nume
Numele estimatorului cu o rată pentru modul absolut.

--rateest1 nume

--rateest2 nume
Numele celor doi estimatori de rată pentru modul relativ.

--rateest-bps [valoare]

--rateest-pps [valoare]

--rateest-bps1 [valoare]

--rateest-bps2 [valoare]

--rateest-pps1 [valoare]

--rateest-pps2 [valoare]
Compară estimatorul (estimatorii) pe octeți sau pachete pe secundă și compară cu valoarea aleasă.
Consultați lista de puncte de mai sus pentru a afla care opțiune trebuie utilizată în fiecare caz.
Se poate utiliza un sufix de unitate - cele disponibile sunt: bit, [kmgt]bit, [KMGT]ibit, Bps,
[KMGT]Bps, [KMGT]iBps.

Exemplu: Acesta este modul în care pot fi direcționate conexiunile de date de ieșire de la un server FTP
pe două linii, în funcție de lățimea de bandă disponibilă în momentul în care a fost inițiată conexiunea
de date:

# Estimarea ratelor de ieșire

iptables -t mangle -A POSTROUTING -o eth0 -j RATEEST --rateest-name eth0 --rateest-interval 250ms
--rateest-ewma 0.5s

iptables -t mangle -A POSTROUTING -o ppp0 -j RATEEST --rateest-name ppp0 --rateest-interval 250ms
--rateest-ewma 0.5s

# Marcare bazată pe lățimea de bandă disponibilă

iptables -t mangle -A balance -m conntrack --ctstate NEW -m helper --helper ftp -m rateest
--rateest-delta --rateest1 eth0 --rateest-bps1 2.5mbit --rateest-gt --rateest2 ppp0 --rateest-bps2 2mbit
-j CONNMARK --set-mark 1

iptables -t mangle -A balance -m conntrack --ctstate NEW -m helper --helper ftp -m rateest
--rateest-delta --rateest1 ppp0 --rateest-bps1 2mbit --rateest-gt --rateest2 eth0 --rateest-bps2 2.5mbit
-j CONNMARK --set-mark 2

iptables -t mangle -A balance -j CONNMARK --restore-mark

realm (specific IPv4)
Aceasta corespunde domeniului de direcționare. Domeniile de direcționare sunt utilizate în configurații
de direcționare complexe care implică protocoale de direcționare dinamice precum BGP.

[!] --realm valoare[/masca]
Potrivește un număr de domeniu dat (și, opțional, o mască). Dacă nu este un număr, valoarea poate
fi un domeniu numit din „/etc/iproute2/rt_realms” (masca nu poate fi utilizată în acest caz). Atât
valoarea, cât și masca sunt numere întregi fără semn de patru octeți și pot fi specificate în
zecimal, hexazecimal (prin prefixarea cu "0x") sau octal (dacă se indică un zero în față).

recent
Vă permite să creați în mod dinamic o listă de adrese IP și apoi să le comparați cu lista respectivă în
mai multe moduri diferite.

De exemplu, puteți crea o listă de „răufăcători” cu persoanele care încearcă să se conecteze la portul
139 din paravanul dvs de protecție și apoi să ARUNCAȚI toate pachetele viitoare de la acestea fără a le
lua în considerare.

--set, --rcheck, --update și --remove se exclud reciproc.

--name nume
Specifică lista de utilizat pentru comenzi. Dacă nu este specificat niciun nume, atunci se va
utiliza DEFAULT.

[!] --set
Aceasta va adăuga adresa sursă a pachetului în listă. Dacă adresa sursă se află deja în listă,
aceasta va actualiza intrarea existentă. Aceasta va returna întotdeauna un răspuns de succes (sau
de eșec dacă este specificat !).

--rsource
Potrivește/salvează adresa sursă a fiecărui pachet din tabelul listei recente. Aceasta este
valoarea implicită.

--rdest
Potrivește/salvează adresa de destinație a fiecărui pachet din tabelul listei recente.

--mask mască-rețea
Masca de rețea care va fi aplicată acestei liste recente.

[!] --rcheck
Verifică dacă adresa sursă a pachetului se află în prezent în listă.

[!] --update
La fel ca --rcheck, cu excepția faptului că va actualiza marca temporală „last seen” (văzut ultima
dată) dacă se potrivește.

[!] --remove
Verifică dacă adresa sursă a pachetului se află în prezent în listă și, dacă da, adresa respectivă
va fi eliminată din listă, iar regula va returna „true”. Dacă adresa nu este găsită, se returnează
„false”.

--seconds secunde
Această opțiune trebuie utilizată împreună cu una dintre opțiunile --rcheck sau --update. Atunci
când este utilizată, această opțiune va restrânge potrivirea pentru a avea loc numai atunci când
adresa se află în listă și a fost văzută în ultimul număr dat de secunde.

--reap Această opțiune poate fi utilizată numai împreună cu --seconds. Atunci când este utilizată,
aceasta va determina purjarea intrărilor mai vechi decât ultimul număr de secunde dat.

--hitcount hits
Această opțiune trebuie utilizată împreună cu una dintre opțiunile --rcheck sau --update. Atunci
când este utilizată, această opțiune va restrânge potrivirea pentru a avea loc numai atunci când
adresa este în listă și au fost primite pachete mai mari sau egale cu valoarea dată. Această
opțiune poate fi utilizată împreună cu --seconds pentru a crea o potrivire și mai îngustă care
necesită un anumit număr de rezultate într-un anumit interval de timp.

--rttl Această opțiune poate fi utilizată numai împreună cu una dintre opțiunile --rcheck sau --update.
Atunci când este utilizată, această opțiune va restrânge potrivirea pentru a avea loc numai atunci
când adresa se află în listă și TTL-ul pachetului curent corespunde cu cel al pachetului care a
corespuns reguii --set. Acest lucru poate fi util dacă aveți probleme cu persoane care își
falsifică adresa sursă pentru a vă face DoS prin intermediul acestui modul, interzicând accesul
altora la situl dumneavoastră prin trimiterea de pachete false către dumneavoastră.

Exemple:

iptables -A FORWARD -m recent --name badguy --rcheck --seconds 60 -j DROP

iptables -A FORWARD -p tcp -i eth0 --dport 139 -m recent --name badguy --set -j DROP

/proc/net/xt_recent/* sunt listele actuale de adrese și informații despre fiecare intrare din fiecare
listă.

Fiecare fișier din /proc/net/xt_recent/ poate fi citit pentru a vedea lista curentă sau scris folosind
următoarele comenzi pentru a modifica lista:

echo +addr >/proc/net/xt_recent/DEFAULT
pentru a adăuga adresa la lista DEFAULT

echo -addr >/proc/net/xt_recent/DEFAULT
pentru a elimina adresa din lista DEFAULT

echo / >/proc/net/xt_recent/DEFAULT
pentru a goli lista DEFAULT (a elimina toate intrările).

Modulul în sine acceptă parametri, cu valorile implicite afișate:

ip_list_tot=100
Numărul de adrese memorate per tabel.

ip_pkt_list_tot=0
Numărul de pachete pe adresă memorată. Acest parametru este obsolet de la versiunea 3.19 a
nucleului, care a început să calculeze dimensiunea tabelului pe baza parametrului --hitcount dat.

ip_list_hash_size=0
Dimensiunea tabelului de sume de control (hash). 0 înseamnă calcularea acesteia pe baza
ip_list_tot prin rotunjire la următoarea putere a lui doi (cu ip_list_tot implicit la 100,
ip_list_hash_size va calcula implicit la 128).

ip_list_perms=0644
Permisiuni pentru fișierele „/proc/net/xt_recent/*”.

ip_list_uid=0
UID numeric pentru proprietarul fișierelor „/proc/net/xt_recent/*”.

ip_list_gid=0
GID numeric pentru proprietarul fișierelor „/proc/net/xt_recent/*”.

rpfilter
Efectuează un test de filtrare a rutei inverse pe un pachet. Dacă un răspuns la pachet ar fi trimis prin
aceeași interfață pe care a sosit pachetul, pachetul va corespunde. Rețineți că, spre deosebire de
rp_filter din nucleu, pachetele protejate prin IPSec nu sunt tratate în mod special. Combinați această
potrivire cu potrivirea de politică dacă doriți acest lucru. De asemenea, pachetele care sosesc prin
interfața „loopback” sunt întotdeauna permise. Această potrivire poate fi utilizată numai în lanțul
PREROUTING din tabelul „raw” sau „mangle”.

--loose
Utilizat pentru a specifica faptul că testul filtrului de cale inversă trebuie să corespundă chiar
dacă dispozitivul de ieșire selectat nu este cel așteptat.

--validmark
De asemenea, utilizează valoarea „nfmark” a pachetelor atunci când efectuează căutarea rutei pe
calea inversă.

--accept-local
Acest lucru va permite pachetelor care sosesc din rețea cu o adresă sursă care este, de asemenea,
atribuită calculatorului local.

--invert
Aceasta va inversa sensul potrivirii. În loc să se potrivească pachetele care au trecut testul
filtrului de cale inversă, se potrivesc cele care nu l-au trecut.

Exemplu de înregistrare și eliminare a pachetelor care nu trec testul filtrului de cale inversă:

iptables -t raw -N RPFILTER

iptables -t raw -A RPFILTER -m rpfilter -j RETURN

iptables -t raw -A RPFILTER -m limit --limit 10/minute -j NFLOG --nflog-prefix "rpfilter drop"

iptables -t raw -A RPFILTER -j DROP

iptables -t raw -A PREROUTING -j RPFILTER

Exemplu pentru a respinge pachetele eșuate, fără înregistrare în jurnal:

iptables -t raw -A RPFILTER -m rpfilter --invert -j DROP

rt (IPv6-specific)
Potrivire pe antetul de direcționare IPv6

[!] --rt-type tip
Potrivește tipul (numeric).

[!] --rt-segsleft număr[:număr]
Potrivește câmpul „segmente din stânga” (interval).

[!] --rt-len lungime
Potrivește lungimea acestui antet.

--rt-0-res
Potrivește și câmpul rezervat (type=0)

--rt-0-addrs adresa[,adresa...]
Potrivește adresele de tip 0 „type=0” (listă).

--rt-0-not-strict
Lista de adrese de tip 0 „type=0” nu este o listă strictă.

sctp
Acest modul se potrivește cu antetele „Stream Control Transmission Protocol” (protocol de transmisie cu
control al fluxului).

[!] --source-port,--sport port[:port]

[!] --destination-port,--dport port[:port]

[!] --chunk-types {all|any|only} tip-bucată[:fanioane] [...]
Literele fanionului în majuscule indică faptul că fanionul trebuie să corespundă dacă este
activat, în minuscule indică faptul că trebuie să corespundă dacă nu este activat.

Tipuri de potrivire:

all Se potrivește dacă toate tipurile de bucăți date sunt prezente și fanioanele corespund.

any Se potrivește dacă oricare dintre tipurile de bucăți date este prezent cu fanioanele date.

only Se potrivește dacă numai tipurile de bucăți date sunt prezente cu fanioanele date și niciunul nu
lipsește.

Tipuri de bucăți: DATA INIT INIT_ACK SACK HEARTBEAT HEARTBEAT_ACK ABORT SHUTDOWN SHUTDOWN_ACK
ERROR COOKIE_ECHO COOKIE_ACK ECN_ECNE ECN_CWR SHUTDOWN_COMPLETE I_DATA RE_CONFIG PAD ASCONF
ASCONF_ACK FORWARD_TSN I_FORWARD_TSN

tip de bucată, fanioane disponibile
DATA I U B E i u b e
I_DATA I U B E i u b e
ABORT T t
SHUTDOWN_COMPLETE T t

(minuscule înseamnă că steagul trebuie să fie „dezactivat”, majuscule înseamnă „activat”)

Exemple:

iptables -A INPUT -p sctp --dport 80 -j DROP

iptables -A INPUT -p sctp --chunk-types any DATA,INIT -j DROP

iptables -A INPUT -p sctp --chunk-types any DATA:Be -j ACCEPT

set
Acest modul corespunde seturilor IP care pot fi definite prin ipset(8).

[!] --match-set nume-set fanion[,fanion]...
unde fanioanele sunt lista de specificații src și/sau dst separate prin virgule și nu pot fi mai
mult de șase. Prin urmare, comanda

iptables -A FORWARD -m set --match-set test src,dst

va potrivi pachetele pentru care (dacă tipul de set este ipportmap) perechea adresă sursă și port
destinație poate fi găsită în setul specificat. Dacă tipul setului specificat este de dimensiune
unică (de exemplu, ipmap), atunci comanda va potrivi pachetele pentru care adresa sursă poate fi
găsită în setul specificat.

--return-nomatch
Dacă este specificată opțiunea --return-nomatch și tipul de set acceptă fanionul nomatch, atunci
potrivirea este inversată: o potrivire cu un element marcat cu nomatch returnează true, în timp ce
o potrivire cu un element simplu returnează false.

! --update-counters
Dacă opțiunea --update-counters este negată, atunci contoarele de pachete și de octeți ale
elementului corespunzător din set nu vor fi actualizate. În mod implicit, contoarele de pachete și
de octeți sunt actualizate.

! --update-subcounters
Dacă opțiunea --update-subcounters este negată, atunci contoarele de pachete și de octeți ale
elementului corespunzător din setul membru al unei liste de tip set nu vor fi actualizate. În mod
implicit, contoarele de pachete și de octeți sunt actualizate.

[!] --packets-eq valoare
Dacă pachetul se potrivește cu un element din set, se potrivește numai dacă și contorul de pachete
al elementului se potrivește cu valoarea dată.

--packets-lt valoare
Dacă pachetul se potrivește cu un element din set, se potrivește numai dacă și contorul de pachete
al elementului este mai mic decât valoarea dată.

--packets-gt valoare
Dacă pachetul se potrivește cu un element din set, se potrivește numai dacă contorul de pachete al
elementului este mai mare decât valoarea dată.

[!] --bytes-eq valoare
Dacă pachetul se potrivește cu un element din set, se potrivește numai dacă și contorul de octeți
al elementului se potrivește cu valoarea dată.

--bytes-lt valoare
Dacă pachetul se potrivește cu un element din set, se potrivește numai dacă contorul de octeți al
elementului este mai mic decât valoarea dată.

--bytes-gt valoare
Dacă pachetul se potrivește cu un element din set, se potrivește numai dacă contorul de octeți al
elementului este mai mare decât valoarea dată.

Opțiunile și fanioanele aferente contoarelor de pachete și de octeți sunt ignorate atunci când setul a
fost definit fără suport pentru contoare.

Opțiunea --match-set poate fi înlocuită cu --set dacă aceasta nu intră în conflict cu o opțiune a altor
extensii.

Utilizarea lui -m set necesită ca suportul pentru nucleu ipset să fie furnizat, ceea ce, pentru nucleele
standard, este cazul începând cu Linux 2.6.39.

soclu
Se potrivește dacă un soclu TCP/UDP deschis poate fi găsit prin căutarea unui soclu pe pachet. Se
potrivește în cazul în care există un soclu de ascultare stabilit sau conectat în mod diferit de zero
(eventual cu o adresă non-locală). Căutarea se efectuează utilizând tuplele packet ale pachetelor TCP/UDP
sau antetul TCP/UDP original embedded dintr-un pachet de eroare ICMP/ICPMv6.

--transparent
Ignoră soclurile netransparente.

--nowildcard
Nu ignoră soclurile legate la adresa „oricare”. În mod implicit, potrivirea soclurilor nu va
accepta ascultători legați de zero, deoarece astfel serviciile locale ar putea intercepta traficul
care altfel ar fi redirecționat. Prin urmare, această opțiune are implicații de securitate atunci
când este utilizată pentru a potrivi traficul redirecționat pentru a redirecționa astfel de
pachete către mașina locală cu politica de direcționare. Atunci când se utilizează potrivirea
soclului pentru a implementa proxy-uri complet transparente legate la adrese non-locale, se
recomandă utilizarea opțiunii „--transparent”.

Exemplu (presupunând că pachetele cu marcajul 1 sunt livrate local):

-t mangle -A PREROUTING -m socket --transparent -j MARK --set-mark 1

--restore-skmark
Stabilește marca pachetului la marca soclului corespunzător. Poate fi combinată cu opțiunile
--transparent și --nowildcard pentru a restricționa soclurile care trebuie să corespundă atunci
când se restabilește marca pachetului.

Exemplu: O aplicație deschide 2 socluri transparente (IP_TRANSPARENT) și le marchează cu opțiunea de
soclu SO_MARK. Putem filtra pachetele corespunzătoare:

-t mangle -I PREROUTING -m socket --transparent --restore-skmark -j action

-t mangle -A action -m mark --mark 10 -j action2

-t mangle -A action -m mark --mark 11 -j action3

state
Extensia „state” este un subset al modulului „conntrack”. „state” permite accesul la starea de urmărire
a conexiunii pentru acest pachet.

[!] --state starea
Unde „state” este o listă separată prin virgule a stărilor conexiunii care trebuie să corespundă.
Numai un subset de stări înțelese de „conntrack” sunt recunoscute: INVALID, ESTABLISHED, NEW,
RELATED sau UNTRACKED. Pentru descrierea acestora, consultați rubrica „conntrack” din această
pagină de manual.

statistic
Acest modul potrivește pachetele pe baza unor condiții statistice. Acceptă două moduri distincte
stabilite cu opțiunea --mode.

Opțiuni acceptate:

--mode mod
Stabilește modul de potrivire al regulii de potrivire, modurile acceptate sunt random și nth.

[!] --probability p
Definește probabilitatea ca un pachet să fie comparat aleatoriu. Funcționează numai cu modul
random. p trebuie să fie între 0,0 și 1,0. Gradul de finețe acceptat este în incremente de
1/2147483648.

[!] --every n
Potrivește un pachet la fiecare al n-lea pachet. Funcționează numai cu modul nth (a se vedea și
opțiunea --packet).

--packet p
Stabilește valoarea inițială a contorului (0 <= p <= n-1, implicit 0) pentru modul nth.

string
Acest modul potrivește un șir dat folosind o strategie de potrivire a modelelor. Necesită un nucleu linux
>= 2.6.14.

--algo {bm|kmp}
Selectează strategia de potrivire a modelelor. (bm = Boyer-Moore, kmp = Knuth-Pratt-Morris)

--from poziția
Stabilește poziția de la care începe căutarea oricărei potriviri. Dacă nu este specificată,
valoarea implicită este 0.

--to poziția
Stabilește poziția până la care trebuie scanat. Adică, octetul poziția-1 (numărând de la 0) este
ultimul care este scanat și poziția maximă a ultimului caracter al modelului. Dacă nu este
specificată, valoarea implicită este dimensiunea pachetului.

[!] --string model
Potrivește modelul dat.

[!] --hex-string model
Potrivește modelul dat.

--icase
Nu face distincție între majuscule și minuscule atunci când caută.

Exemple:

# Modelul de șir poate fi utilizat pentru caractere simple de text.
iptables -A INPUT -p tcp --dport 80 -m string --algo bm --string 'GET /index.html' -j LOG

# Modelul de șir hexazecimal poate fi utilizat pentru caractere neimprimabile, precum |0D 0A| sau
|0D0A|.
iptables -p udp --dport 53 -m string --algo bm --from 40 --to 57 --hex-string
'|03|www|09|netfilter|03|org|00|'

Notă: Deoarece Boyer-Moore (BM) efectuează căutări de potrivire de la dreapta la stânga, iar nucleul
poate stoca un pachet în mai multe blocuri discontinue, este posibil ca o potrivire să fie răspândită pe
mai multe blocuri, caz în care acest algoritm nu o va găsi.

Dacă doriți să vă asigurați că un astfel de lucru nu se va întâmpla niciodată, utilizați în schimb
algoritmul Knuth-Pratt-Morris (KMP). În concluzie, alegeți algoritmul adecvat de căutare a șirurilor de
caractere în funcție de cazul dvs. de utilizare.

De exemplu, dacă utilizați modulul pentru filtrare, NIDS sau orice alt scop similar axat pe securitate,
atunci alegeți KMP. Pe de altă parte, dacă vă pasă cu adevărat de performanță - de exemplu, clasificați
pachetele pentru a aplica politici de calitate a serviciului (QoS) - și nu vă deranjează să pierdeți
posibile potriviri răspândite pe mai multe fragmente, atunci alegeți BM.

tcp
Aceste extensii pot fi utilizate dacă este specificată opțiunea „--protocol tcp”. Acesta oferă
următoarele opțiuni:

[!] --source-port,--sport port[:port]
Specificarea portului sursă sau a intervalului de porturi. Acesta poate fi fie un nume de
serviciu, fie un număr de port. De asemenea, poate fi specificat un interval inclusiv, folosind
formatul primul:ultimul. Dacă primul port este omis, se presupune „0”; dacă ultimul este omis, se
presupune „65535”. Opțiunea --sport este un alias convenabil pentru această opțiune.

[!] --destination-port,--dport port[:port]
Specificarea portului de destinație sau a intervalului de porturi. Opțiunea --dport este un alias
convenabil pentru această opțiune.

[!] --tcp-flags masca comp
Se potrivește atunci când fanioanele TCP sunt cele specificate. Primul argument masca reprezintă
fanioanele pe care trebuie să le examinăm, scrise ca o listă separată prin virgule, iar al doilea
argument comp este o listă separată prin virgule de fanioane care trebuie să fie activate.
Fanioanele sunt: SYN ACK FIN RST URG PSH ALL NONE. Prin urmare, comanda
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST SYN
se va potrivi numai pachetelor cu fanionul SYN activat, iar fanioanele ACK, FIN și RST
dezactivate.

[!] --syn
Se potrivesc numai pachetele TCP cu bitul SYN activat și biții ACK, RST și FIN dezactivați. Aceste
pachete sunt utilizate pentru a solicita inițierea unei conexiuni TCP; de exemplu, blocarea
acestor pachete care intră într-o interfață va împiedica conexiunile TCP de intrare, dar
conexiunile TCP de ieșire nu vor fi afectate. Este echivalentă cu --tcp-flags SYN,RST,ACK,FIN SYN.
Dacă fanionul „!” precede „--syn”, sensul opțiunii este inversat.

[!] --tcp-option număr
Se potrivește dacă opțiunea TCP este activată.

tcpmss
Aceasta corespunde câmpului TCP MSS (dimensiunea maximă a segmentului) din antetul TCP. Puteți utiliza
acest parametru numai pe pachetele TCP SYN sau SYN/ACK, deoarece MSS este negociat numai în timpul
protocolului TCP de negociere „handshake” la momentul inițierii conexiunii.

[!] --mss valoare[:valoare]
Potrivește o valoare sau un interval TCP MSS dat. Dacă este dat un interval, a doua valoare
trebuie să fie mai mare sau egală cu prima valoare.

time
Această opțiune se potrivește dacă data/ora de sosire a pachetului se încadrează într-un interval dat
Toate opțiunile sunt opționale, dar sunt evaluate cu „AND” atunci când sunt specificate.Toate orele sunt
interpretate implicit ca UTC.

--datestart AAAA[-LL[-ZZ[Thh[:mm[:ss]]]]]

--datestop AAAA[-LL[-ZZ[Thh[:mm[:ss]]]]]
Se potrivește numai în timpul dat, care trebuie să fie în notația ISO 8601 „T”. Intervalul de timp
posibil este 1970-01-01T00:00:00 până la 2038-01-19T04:17:07.

În cazul în care „--datestart” sau „--datestop” nu sunt specificate, se va alege în mod implicit
1970-01-01 și, respectiv, 2038-01-19.

--timestart hh:mm[:ss]

--timestop hh:mm[:ss]
Se potrivește numai în timpul zilei date. Intervalul de timp posibil este de la 00:00:00 la
23:59:59. Zerourile inițiale sunt permise (de exemplu, „06:03”) și sunt interpretate corect ca
bază 10.

[!] --monthdays ziua[,ziua...]
Se potrivește numai în zilele lunii date. Valorile posibile sunt de la 1 la 31. Rețineți că
specificarea 31 nu se va potrivi, bineînțeles, lunilor care nu au ziua 31; același lucru este
valabil și pentru luna februarie cu 28 sau 29 de zile.

[!] --weekdays ziua[,ziua...]
Se potrivește numai în zilele săptămânii date. Valorile posibile sunt Mon, Tue, Wed, Thu, Fri,
Sat, Sun sau valori de la 1 la 7, respectiv. Se pot utiliza și variante cu două caractere (Mo, Tu
etc.).

--contiguous
Atunci când valoarea --timestop este mai mică decât valoarea --timestart, se potrivește ca o
singură perioadă de timp în loc de intervale distincte. A se vedea EXEMPLE.

--kerneltz
Utilizează fusul orar al nucleului în loc de UTC pentru a determina dacă un pachet respectă
reglementările temporale.

Despre fusurile orare ale nucleului: Linux păstrează ora sistemului în UTC, și întotdeauna face acest
lucru. La pornire, ora sistemului este inițializată de la o sursă de timp referențială. În cazul în care
această sursă de timp nu are informații privind fusul orar, cum ar fi RTC-ul CMOS x86, se va presupune
UTC. În cazul în care sursa de timp nu este totuși în UTC, spațiul utilizatorului ar trebui să furnizeze
nucleului ora corectă a sistemului și fusul orar, odată ce dispune de informații.

Ora locală este o caracteristică a orei de sistem (independentă de fusul orar). Fiecare proces are
propria sa idee despre ora locală, specificată prin intermediul variabilei de mediu TZ. Nucleul are, de
asemenea, propria sa variabilă de decalaj al fusului orar. Variabila de mediu userpace TZ specifică modul
în care este afișată ora sistemului bazată pe UTC, de exemplu atunci când executați date(1) sau ceea ce
vedeți pe ceasul de pe birou. Șirul TZ se poate rezolva la diferite decalaje la date diferite, ceea ce
permite saltul automat al orei în spațiul utilizatorilor. atunci când se schimbă ora de vară. Variabila
de decalare a fusului orar a nucleului este utilizată atunci când trebuie să convertească surse non-UTC,
cum ar fi sistemele de fișiere FAT, în UTC (deoarece acesta din urmă este cel utilizat de restul
sistemului).

Problema cu fusul orar al nucleului este că distribuțiile Linux pot ignora configurarea fusului orar al
nucleului și, în schimb, pot configura doar ora sistemului. Chiar dacă o anumită distribuție configurează
fusul orar la pornire, de obicei nu menține actualizat decalajul fusului orar al nucleului, care este cel
care se modifică în funcție de ora de vară. ntpd nu va modifica fusul orar al nucleului, astfel încât
rularea sa nu va rezolva problema. Astfel, este posibil să se întâlnească un fus orar care este
întotdeauna +0000 sau unul care este greșit jumătate din timpul anului. Ca atare, utilizarea „--kerneltz”
este foarte descurajată.

EXEMPLE. Pentru a potrivi în „weekend”, utilizați:

-m time --weekdays Sa,Su

Sau, să se potrivească (o dată) pe un bloc de sărbătoare națională:

-m time --datestart 2007-12-24 --datestop 2007-12-27

Deoarece timpul de oprire este de fapt inclusiv, ar trebui ca următorul timp de oprire să nu coincidă cu
prima secundă a noii zile:

-m time --datestart 2007-01-01T17:00 --datestop 2007-01-01T23:59:59

În timpul prânzului:

-m time --timestart 12:30 --timestop 13:30

A patra zi de vineri din lună:

-m time --weekdays Fr --monthdays 22,23,24,25,26,27,28

Rețineți că acest lucru exploatează o anumită proprietate matematică. Nu este posibil să se spună „a
patra zi de joi SAU a patra zi de vineri” într-o singură regulă. Este posibil, totuși, cu mai multe
reguli.

Potrivirea între zile ar putea să nu aibă efectul scontat. De exemplu,

„-m time --weekdays Mo --timestart 23:00 --timestop 01:00” Se va potrivi luni, timp de o oră, de
la miezul nopții până la ora 1 a.m., și apoi din nou timp de încă o oră, de la ora 23:00 încolo.
Dacă acest lucru nu este dorit, de exemplu, dacă doriți „să se potrivească timp de două ore
începând de luni de la ora 23:00”, trebuie să specificați și opțiunea „--contiguous” în exemplul
de mai sus.

tos
Acest modul corespunde câmpului „Type of Service” pe 8 biți din antetul IPv4 (adică inclusiv biții
„Precedence”) sau câmpului „Priority” (tot pe 8 biți) din antetul IPv6.

[!] --tos valoare[/masca]
Potrivește pachetele cu valoarea indicatorului TOS dată. Dacă este specificată o mască, aceasta
este logic evaluată AND cu marcajul TOS înainte de comparație.

[!] --tos simbol
Puteți specifica un nume simbolic atunci când utilizați potrivirea tos pentru IPv4. Lista de nume
TOS recunoscute poate fi obținută apelând iptables cu -m tos -h. Rețineți că acest lucru implică
o mască de 0x3F, adică toți biții, cu excepția celor ECN.

ttl (specific IPv4)
Acest modul se potrivește cu câmpul „time to live” din antetul IP.

[!] --ttl-eq ttl
Se potrivește cu valoarea TTL dată.

--ttl-gt ttl
Se potrivește dacă TTL este mai mare decât valoarea TTL dată.

--ttl-lt ttl
Se potrivește dacă TTL este mai mic decât valoarea TTL dată.

u32
U32 testează dacă cantități de până la 4 octeți extrase dintr-un pachet au valorile specificate.
Specificarea a ceea ce trebuie extras este suficient de generală pentru a găsi date la anumite distanțe
din antetele sau sarcinile utile tcp.

[!] --u32 tests
Argumentul reprezintă un program într-un mic limbaj descris mai jos.

tests := location "=" value | tests "&&" location "=" value

value := range | value "," range

range := number | number ":" number

un singur număr, n, este interpretat la fel ca n:n. n:m este interpretat ca intervalul de numere >=n și
<=m.

location := number | location operator number

operator := "&" | "<<" | ">>" | "@"

Operatorii &, <<, >> și && au același înțeles ca în C. = este de fapt un operator de apartenență la un
set, iar sintaxa valorii descrie un set. Operatorul @ este cel care permite trecerea la următorul antet
și este descris mai jos.

În prezent, există unele limite artificiale de implementare privind dimensiunea testelor:

* nu mai mult de 10 „=” (și 9 „&&”s) în argumentul u32

* nu mai mult de 10 intervale (și 9 virgule) pentru fiecare valoare

* nu mai mult de 10 numere (și 9 operatori) pe locație

Pentru a descrie semnificația locației, imaginați-vă următoarea mașină care o interpretează. Există trei
registre:

A este de tip char *, inițial adresa antetului IP

B și C sunt numere întregi de 32 de biți fără semn, inițial zero

Instrucțiunile sunt:

number B = number;

C = (*(A+B)<<24) + (*(A+B+1)<<16) + (*(A+B+2)<<8) + *(A+B+3)

&number
C = C & number

<< number
C = C << number

>> number
C = C >> number

@number
A = A + C; apoi efectuează instrucțiunea „number”

Orice acces la memorie în afara [skb->data,skb->end] face ca potrivirea să eșueze. În caz contrar,
rezultatul calculului este valoarea finală a lui C.

Spațiul alb este permis, dar nu este obligatoriu în teste. Cu toate acestea, caracterele care apar acolo
sunt susceptibile de a necesita citarea folosită în shell, deci este o idee bună să includeți argumentele
între ghilimele.

Exemplu:

se potrivesc pachetelor IP cu lungimea totală >= 256

Antetul IP conține un câmp cu lungimea totală în octeți 2-3.

--u32 "0 & 0xFFFF = 0x100:0xFFFF"

citește octeții 0-3

AND logic cu 0xFFFF (furnizează octeți 2-3) și verifică dacă această valoare se află în intervalul
permis [0x100: 0xffff]

Exemplu: (mai realist, așadar mai complicat)

potrivește pachetele ICMP cu tipul icmp 0

Mai întâi se testează dacă este un pachet ICMP, adevărat dacă octetul 9 (protocol) = 1

--u32 "6 & 0xFF = 1 && ...

citește octeții 6-9, folosește & pentru a înlătura octeții 6-8 și compară rezultatul cu 1. Apoi
verifică dacă nu este un fragment; (dacă este, ar putea face parte dintr-un astfel de pachet, dar
nu ne putem da seama întotdeauna.) N.B.: Acest test este în general necesar dacă doriți să
potriviți ceva dincolo de antetul IP. Ultimii 6 biți din octetul 6 și toți cei din octetul 7 sunt
0 dacă acesta este un pachet complet (nu un fragment). Alternativ, puteți permite primele
fragmente testând doar ultimii 5 biți ai octetului 6.

... 4 & 0x3FFF = 0 && ...

Ultimul test: primul octet după antetul IP (tipul) este 0. Aici trebuie să folosim @syntax.
Lungimea antetului IP (IHL) în cuvinte de 32 de biți este stocată în jumătatea dreaptă a octetului
0 din antetul IP în sine.

... 0 >> 22 & 0x3C @ 0 >> 24 = 0"

Primul 0 înseamnă citirea octeților 0-3, >>22 înseamnă deplasarea celor 22 de biți la dreapta.
Deplasarea a 24 de biți ar da primul octet, deci numai 22 de biți înseamnă de patru ori mai mult
decât atât plus câțiva biți. &3C elimină apoi cei doi biți suplimentari din dreapta și primii
patru biți ai primului octet. De exemplu, dacă IHL=5, atunci antetul IP are o lungime de 20 (4 x
5) de octeți. În acest caz, octeții 0-1 sunt (în binar) xxxx0101 yyzzzzzz, >>22 dă valoarea pe 10
biți xxxx0101yy și &3C dă 010100. @ înseamnă să se utilizeze acest număr ca un nou decalaj în
pachet și să se citească patru octeți începând de acolo. Aceștia sunt primii 4 octeți din sarcina
utilă ICMP, din care octetul 0 este tipul ICMP. Prin urmare, pur și simplu deplasăm valoarea 24 la
dreapta pentru a înlătura tot cu excepția primului octet și comparăm rezultatul cu 0.

Exemplu:

Octeții de sarcină utilă TCP 8-12 sunt oricare dintre 1, 2, 5 sau 8

Mai întâi testăm dacă pachetul este un pachet tcp (similar cu ICMP).

--u32 "6 & 0xFF = 6 && ...

Apoi, se testează dacă nu este un fragment (la fel ca mai sus).

... 0 >> 22 & 0x3C @ 12 >> 26 & 0x3C @ 8 = 1,2,5,8"

0>>22&3C calculează ca mai sus numărul de octeți din antetul IP. @ face din acesta noul decalaj în
pachet, care este începutul antetului TCP. Lungimea antetului TCP (din nou în cuvinte de 32 de
biți) este jumătatea stângă a octetului 12 din antetul TCP. 12>>26&3C calculează această lungime
în octeți (similar cu antetul IP anterior). „@” face ca acesta să fie noul decalaj, care este
începutul încărcăturii utile TCP. În cele din urmă, 8 citește octeții 8-12 din sarcina utilă și =
verifică dacă rezultatul este oricare dintre 1, 2, 5 sau 8.

udp
Aceste extensii pot fi utilizate dacă este specificat „---protocol udp”. Acesta oferă următoarele
opțiuni:

[!] --source-port,--sport port[:port]
Specificarea portului sursă sau a intervalului de porturi. Pentru detalii, consultați descrierea
opțiunii --source-port a extensiei TCP.

[!] --destination-port,--dport port[:port]
Specificarea portului de destinație sau a intervalului de porturi. Pentru detalii, consultați
descrierea opțiunii --destination-port a extensiei TCP.

EXTENSII PENTRU ȚINTĂ

iptables poate utiliza module țintă extinse: următoarele sunt incluse în distribuția standard.

AUDIT
Această țintă creează înregistrări de audit pentru pachetele care ating ținta. Acesta poate fi utilizat
pentru a înregistra pachetele acceptate, abandonate și respinse. Consultați auditd(8) pentru detalii
suplimentare.

--type {accept|drop|reject}
Stabilește tipul înregistrării de audit. Începând cu linux-4.12, această opțiune nu mai are niciun
efect asupra mesajelor de audit generate. Este încă acceptată de iptables din motive de
compatibilitate, dar este ignorată.

Exemplu:

iptables -N AUDIT_DROP

iptables -A AUDIT_DROP -j AUDIT

iptables -A AUDIT_DROP -j DROP

CHECKSUM
Această țintă funcționează selectiv în jurul aplicațiilor vechi/nefuncționale. Poate fi utilizată numai
în tabelul de „mangle”.

--checksum-fill
Calculează și completează suma de control într-un pachet care nu are o sumă de control. Acest
lucru este deosebit de util în cazul în care trebuie să lucrați cu aplicații vechi, cum ar fi
clienții dhcp, care nu funcționează bine cu descărcarea sumelor de control, dar nu doriți să
dezactivați descărcarea sumelor de control în dispozitivul dumneavoastră.

CLASSIFY
Acest modul vă permite să stabiliți valoarea skb->priority (și astfel să clasificați pachetul într-o
anumită clasă CBQ).

--set-class major:minor
Stabilește valoarea clasei majore și minore. Valorile sunt întotdeauna interpretate ca fiind
hexazecimale, chiar dacă nu este dat prefixul 0x.

CLUSTERIP (specific IPv4)
Acest modul vă permite să configurați un cluster simplu de noduri care împart o anumită adresă IP și MAC
fără a avea în fața lor un distribuitor de sarcină explicit. Conexiunile sunt distribuite static între
nodurile din acest cluster.

Vă rugăm să rețineți că obiectivul „CLUSTERIP” este considerat depreciat în favoarea „cluster match”,
care este mai flexibil și nu este limitat la IPv4.

--new Creează un nou ClusterIP. Întotdeauna trebuie să definiți acest lucru la prima regulă pentru un
anumit ClusterIP.

--hashmode mod
Specifică modul de „hashing” (calculare a sumelor de control). Trebuie să fie unul dintre
sourceip, sourceip-sourceport, sourceip-sourceport-destport.

--clustermac mac
Specifică adresa MAC ClusterIP. Trebuie să fie o adresă de multicast în stratul de
legătură(conexiune)

--total-nodes număr
Numărul total de noduri din acest cluster.

--local-node număr
Numărul nodului local din cadrul acestui cluster.

--hash-init rnd
Specifică sămânța aleatorie utilizată pentru inițializarea calculării sumelor de controli.

CONNMARK
Acest modul stabilește valoarea marcajului netfilter asociat cu o conexiune. Marca are o lățime de 32 de
biți.

--set-xmark valoare[/masca]
Anularea biților indicați de mască și XOR valoare în ctmark.

--save-mark [--nfmask nfmask] [--ctmask ctmask]
Copiază marca pachetului (nfmark) în marca conexiunii (ctmark) folosind măștile date. Noua valoare
nfmark este determinată după cum urmează:

ctmark = (ctmark & ~ctmask) ^ (nfmark & nfmask)

adică ctmask definește ce biți trebuie șterși și nfmask ce biți din nfmark trebuie XOR în ctmark.
ctmask și nfmask au valoarea implicită 0xFFFFFFFF.

--restore-mark [--nfmask nfmask] [--ctmask ctmask]
Copiază marca de conexiune (ctmark) în marca de pachet (nfmark) folosind măștile date. Noua
valoare ctmark este determinată după cum urmează:

nfmark = (nfmark & ~nfmask) ^ (ctmark & ctmask);

adică nfmask definește ce biți se șterg și ctmask ce biți din ctmark se XOR în nfmark. ctmask și
nfmask au valoarea implicită 0xFFFFFFFF.

--restore-mark este valabilă numai în tabelul mangle.

Următoarele mnemonice sunt disponibile pentru --set-xmark:

--and-mark biți
AND logic al ctmark-ului cu biți. Mnemonic pentru --set-xmark 0/invbiți, unde invbiți este negația
binară a lui biți.

--or-mark biți
OR logic al ctmark-ului cu bits. Mnemonic pentru --set-xmark bits/bits.

--xor-mark biți
XOR logic al ctmark-ului cu bits. Mnemonic pentru --set-xmark bits/0.

--set-mark valoare[/masca]
Definește marcajul conexiunii. Dacă este specificată o mască, atunci sunt modificați numai biții
definiți în mască.

--save-mark [--mask masca]
Copiază nfmark în ctmark. Dacă este specificată o mască, sunt copiați numai acei biți.

--restore-mark [--mask masca]
Copiază marca ct în marca nf. Dacă este specificată o mască, se copiază numai acei biți. Acest
lucru este valabil numai în tabelul mangle.

CONNSECMARK
Acest modul copiază marcajele de securitate de la pachete la conexiuni (dacă nu sunt etichetate) și de la
conexiuni înapoi la pachete (tot numai dacă nu sunt etichetate). Utilizat de obicei împreună cu SECMARK,
este valabil în tabelul security (pentru compatibilitate cu nucleele mai vechi, este valabil și în
tabelul mangle).

--save Dacă pachetul are un marcaj de securitate, îl copiază în conexiune dacă conexiunea nu este
marcată.

--restore
Dacă pachetul nu are un marcaj de securitate, iar conexiunea are, copiază marcajul de securitate
de la conexiune la pachet.

CT
Ținta CT stabilește parametrii pentru un pachet sau pentru conexiunea asociată acestuia. Ținta atașează
pachetului o intrare „șablon” de urmărire a conexiunii, care este apoi utilizată de nucleul conntrack la
inițializarea unei noi intrări ct. Prin urmare, această țintă este valabilă numai în tabelul „brut”.

--notrack
Dezactivează urmărirea conexiunii pentru acest pachet.

--helper nume
Utilizează auxiliarul identificat prin nume pentru conexiune. Acest lucru este mai flexibil decât
încărcarea modulelor „helper conntrack” cu porturi prestabilite.

--ctevents eveniment[,...]
Generează numai evenimentele conntrack specificate pentru această conexiune. Tipurile de
evenimente posibile sunt: new, related, destroy, reply, assured, protoinfo, helper, mark (se
referă la ctmark, nu la nfmark), natseqinfo, secmark (ctsecmark).

--expevents eveniment[,...]
Generează numai evenimentele de așteptare specificate pentru această conexiune. Tipurile de
evenimente posibile sunt: new.

--zone-orig {id|mark}
Pentru traficul provenit din direcția ORIGINAL, se atribuie acest pachet zonei id și se efectuează
căutări numai în acea zonă. Dacă se utilizează mark în loc de id, zona este derivată din pachetul
nfmark.

--zone-reply {id|mark}
Pentru traficul provenit din direcția REPLY, se atribuie acest pachet zonei id și se efectuează
căutări numai în acea zonă. Dacă se utilizează mark în loc de id, zona este derivată din pachetul
nfmark.

--zone {id|mark}
Atribuie acest pachet zonei id și efectuează căutări numai în acea zonă. Dacă se utilizează mark
în loc de id, zona este derivată din pachetul nfmark. În mod implicit, pachetele au zona 0.
Această opțiune se aplică în ambele direcții.

--timeout nume
Utilizează politica de timp de așteptare identificată de nume pentru conexiune. Aceasta oferă o
definiție mai flexibilă a politicii de timp de așteptare decât valorile globale de timp de
așteptare disponibile la /proc/sys/net/netfilter/nf_conntrack_*_timeout_*.

DNAT
Această țintă este valabilă numai în tabelul nat, în lanțurile PREROUTING și OUTPUT și în lanțurile
definite de utilizator care sunt apelate numai din aceste lanțuri. Aceasta specifică faptul că adresa de
destinație a pachetului trebuie modificată (și toate pachetele viitoare din această conexiune vor fi, de
asemenea, modificate), iar regulile trebuie să înceteze să mai fie examinate. Acceptă următoarele
opțiuni:

--to-destination [adresa-ip[-adresa-ip]][:port[-port[/port-bază]]]
care poate specifica o singură adresă IP de destinație nouă, un interval inclusiv de adrese IP.
Opțional, un interval de porturi, dacă regula specifică și unul dintre următoarele protocoale:
tcp, udp, dccp sau sctp. Dacă nu este specificat niciun interval de porturi, atunci portul de
destinație nu va fi niciodată modificat. Dacă nu este specificată nicio adresă IP, atunci numai
portul de destinație va fi modificat. Dacă se indică port-bază, diferența dintre portul de
destinație inițial și valoarea acestuia este utilizată ca decalaj în intervalul de porturi de
alocare. Acest lucru permite crearea de intervale de portmap deplasate și este disponibil începând
cu versiunea 4.18 a nucleului. Pentru un singur port sau port-bază, se poate utiliza un nume de
serviciu așa cum este listat în /etc/services.

--random
Alocarea aleatorie a porturilor sursă (nucleu >= 2.6.22).

--persistent
Oferă unui client aceeași adresă sursă/destinație pentru fiecare conexiune. Aceasta înlocuiește
ținta SAME. Suportul pentru corespondențe persistente este disponibil de la versiunea 2.6.29-rc2.

Suport IPv6 disponibil de la nucleele Linux >= 3.7.

DNPT (specific IPv6)
Asigură traducerea prefixelor de rețea IPv6 la IPv6 de destinație fără păstrarea stării „stateless”
(conform descrierii RFC 6296).

Trebuie să utilizați această țintă în tabelul mangle, nu în tabelul nat. Are următoarele opțiuni:

--src-pfx [prefix/lungime]
Definește prefixul sursă pe care doriți să îl traduceți și lungimea

--dst-pfx [prefix/lungime]
Definește prefixul destinație pe care doriți să îl traduceți și lungimea

Trebuie să utilizați ținta SNPT pentru a anula traducerea. Exemplu:

ip6tables -t mangle -I POSTROUTING -s fd00::/64 ! -o vboxnet0 -j SNPT --src-pfx fd00::/64
--dst-pfx 2001:e20:2000:40f::/64

ip6tables -t mangle -I PREROUTING -i wlan0 -d 2001:e20:2000:40f::/64 -j DNPT --src-pfx
2001:e20:2000:40f::/64 --dst-pfx fd00::/64

Este posibil să fie necesar să activați un server proxy IPv6 învecinat:

sysctl -w net.ipv6.conf.all.proxy_ndp=1

De asemenea, trebuie să utilizați ținta NOTRACK pentru a dezactiva urmărirea conexiunilor pentru
fluxurile traduse.

DSCP
Această țintă modifică valoarea biților DSCP din antetul TOS al pachetului IPv4. Deoarece această țintă
manipulează un pachet, ea poate fi utilizată numai în tabelul „mangle”.

--set-dscp valoare
Definește câmpul DSCP la o valoare numerică (poate fi zecimală sau hexazecimală)

--set-dscp-class clasa
Definește câmpul DSCP la o clasă DiffServ.

ECN (specific IPv4)
Această țintă funcționează selectiv în jurul găurilor negre ECN cunoscute. Aceasta poate fi utilizată
numai în tabelul „mangle”.

--ecn-tcp-remove
Elimină toți biții ECN din antetul TCP. Desigur, aceasta poate fi utilizată numai împreună cu -p
tcp.

HL (specific IPv6)
Aceasta este utilizată pentru a modifica câmpul Hop Limit din antetul IPv6. Câmpul Hop Limit este similar
cu ceea ce este cunoscut sub numele de valoare TTL în IPv4. Stabilirea sau incrementarea câmpului Hop
Limit poate fi foarte periculoasă, astfel încât ar trebui evitată cu orice preț. Această țintă este
valabilă numai în tabelul mangle.

Nu stabiliți sau nu incrementați niciodată valoarea pe pachetele care părăsesc rețeaua locală!

--hl-set valoare
Stabilește limita de salt (Hop Limit) la „valoare”.

--hl-dec valoare
Reduce limita de salt de „valoare” de ori.

--hl-inc valoare
Incrementează limita de salt de „valoare” de ori.

HMARK
La fel ca MARK, adică stabilește fwmark, dar marca este calculată din selectorul de pachete hashing la
alegere. De asemenea, trebuie să specificați intervalul de marcare și, opțional, decalajul de la care să
se înceapă. Mesajele de eroare ICMP sunt inspectate și utilizate pentru a calcula hashing-ul.

Existing options are:

--hmark-tuple tuple
Membrii tuplelor posibile sunt: src înseamnă adresa sursă (adresă IPv4, IPv6), dst înseamnă adresa
destinație (adresă IPv4, IPv6), sport înseamnă portul sursă (TCP, UDP, UDPlite, SCTP, DCCP), dport
înseamnă portul destinație (TCP, UDP, UDPlite, SCTP, DCCP), spi înseamnă indicele parametrului de
securitate (AH, ESP) și ct înseamnă utilizarea tuple-ului conntrack în locul selectorilor de
pachete.

--hmark-mod valoare (trebuie să fie > 0)
Modul pentru calculul hash (pentru a limita gama de marcaje posibile)

--hmark-offset valoare
Decalaj de la care să se înceapă marcajele.

Pentru utilizare avansată, în loc să utilizați „--hmark-tuple”, puteți specifica personalizat
prefixe și măști:

--hmark-src-prefix cidr
Masca adresei sursă în notație CIDR.

--hmark-dst-prefix cidr
Masca adresei de destinație în notație CIDR.

--hmark-sport-mask valoare
O mască a portului sursă de 16 biți în hexazecimal.

--hmark-dport-mask valoare
O mască a portului de destinație de 16 biți în hexazecimal.

--hmark-spi-mask valoare
Un câmp de 32 de biți cu mască spi.

--hmark-proto-mask valoare
Un câmp de 8 biți cu numărul protocolului de nivel(strat) 4.

--hmark-rnd valoare
O valoare personalizată aleatorie de 32 de biți pentru a alimenta calculul hash.

Exemple:

iptables -t mangle -A PREROUTING -m conntrack --ctstate NEW
-j HMARK --hmark-tuple ct,src,dst,proto --hmark-offset 10000 --hmark-mod 10 --hmark-rnd 0xfeedcafe

iptables -t mangle -A PREROUTING -j HMARK --hmark-offset 10000 --hmark-tuple src,dst,proto --hmark-mod 10
--hmark-rnd 0xdeafbeef

IDLETIMER
Această țintă poate fi utilizată pentru a identifica momentul în care interfețele au fost inactive pentru
o anumită perioadă de timp. Temporizatoarele sunt identificate prin etichete și sunt create atunci când o
regulă este definită cu o etichetă nouă. Regulile preiau, de asemenea, o valoare de temporizare (în
secunde) ca opțiune. Dacă mai multe reguli utilizează aceeași etichetă de temporizator, temporizatorul va
fi repornit ori de câte ori oricare dintre reguli primește un rezultat pozitiv. O intrare pentru fiecare
cronometru este creată în sysfs. Acest atribut conține timpul rămas până la expirarea temporizatorului.
Atributele sunt localizate sub clasa xt_idletimer:

/sys/class/xt_idletimer/timers/<label>

Când cronometrul expiră, modulul țintă trimite o notificare sysfs către spațiul utilizatorului, care
poate decide apoi ce să facă (de exemplu, deconectarea pentru a economisi energie).

--timeout timp
Acesta este timpul în secunde care va declanșa notificarea.

--label șir
Acesta este un identificator unic pentru temporizator. Lungimea maximă pentru șirul de etichete
este de 27 de caractere.

LED
Acest lucru creează un declanșator LED care poate fi atașat apoi la indicatoarele luminoase ale
sistemului, pentru a clipi sau a le aprinde atunci când anumite pachete trec prin sistem. Un exemplu ar
putea fi aprinderea unui LED timp de câteva minute de fiecare dată când se realizează o conexiune SSH la
mașina locală. Următoarele opțiuni controlează comportamentul declanșatorului:

--led-trigger-id nume
Acesta este numele dat declanșatorului LED. Numele real al declanșatorului va fi prefixat cu
„netfilter-”.

--led-delay ms
Aceasta indică cât timp (în milisecunde) ar trebui lăsat LED-ul aprins atunci când sosește un
pachet înainte de a fi stins din nou. Valoarea implicită este 0 (clipește cât mai repede posibil.)
Valoarea specială inf poate fi dată pentru a lăsa LED-ul aprins permanent odată activat; (în acest
caz, declanșatorul va trebui să fie manual detașat și reatașat de dispozitivul LED pentru a-l opri
din nou).

--led-always-blink
Face ca întotdeauna LED-ul să clipească la sosirea pachetului, chiar dacă LED-ul este deja aprins.
Acest lucru permite notificarea pachetelor noi chiar și cu valori de întârziere mari (care altfel
ar duce la o prelungire silențioasă a timpului de întârziere).

Exemplu:

Creați un declanșator LED pentru traficul SSH de intrare:
iptables -A INPUT -p tcp --dport 22 -j LED --led-trigger-id ssh

Apoi atașați noul declanșator la un LED:
echo netfilter-ssh >/sys/class/leds/ledname/trigger

LOG
Activează înregistrarea în nucleu a pachetelor corespunzătoare. Atunci când această opțiune este definită
pentru o regulă, nucleul Linux va afișa anumite informații despre toate pachetele corespunzătoare (cum ar
fi majoritatea câmpurilor antetului IP/IPv6) prin intermediul jurnalului nucleului (unde pot fi citite cu
dmesg(1) sau citite în syslog).

Aceasta este o „țintă non-terminantă”, adică parcurgerea regulii continuă la următoarea regulă. Prin
urmare, dacă doriți să înregistrați pachetele pe care le refuzați, utilizați două reguli separate cu
aceleași criterii de potrivire, folosind mai întâi obiectivul LOG, apoi DROP (sau REJECT).

--log-level nivel
Nivelul de jurnalizare, care poate fi (specific sistemului) numeric sau mnemonic. Valorile
posibile sunt (în ordinea descrescătoare a priorității): emerg, alert, crit, error, warning,
notice, info sau debug.

--log-prefix prefix
Prefixează mesajele din jurnal cu prefixul specificat; are o lungime de până la 29 de litere și
este util pentru a distinge mesajele din jurnale.

--log-tcp-sequence
Înregistează numerele de secvență TCP. Acesta este un risc de securitate dacă jurnalul poate fi
citit de utilizatori.

--log-tcp-options
Înregistrează opțiunile din antetul pachetului TCP.

--log-ip-options
Înregistrează opțiunile din antetul pachetului IP/IPv6.

--log-uid
Înregistrează ID-ul de utilizator al procesului care a generat pachetul.

--log-macdecode
Înregistrează adresele MAC și protocolul.

MARK
Această țintă este utilizată pentru a stabili valoarea marcajului Netfilter asociat pachetului. Aceasta
poate fi utilizată, de exemplu, împreună cu direcționarea bazată pe fwmark (necesită iproute2). Dacă
intenționați să faceți acest lucru, rețineți că marca trebuie să fie definită fie în lanțul PREROUTING,
fie în lanțul OUTPUT al tabelului „mangle” pentru a afecta direcționarea. Câmpul mărcii „mark” are o
lățime de 32 de biți.

--set-xmark valoare[/masca]
Reduce la zero biții indicați de mască și XOR valoare în marcajul pachetului („nfmark”). Dacă
masca este omisă, se presupune 0xFFFFFFFF.

--set-mark valoare[/masca]
Reduce la zero biții indicați de mască și face OR cu valoare în marcajul pachetului. Dacă masca
este omis, se presupune 0xFFFFFFFF.

Sunt disponibile următoarele mnemonice:

--and-mark biți
Evaluează AND logic al nfmark-ului cu biți; (mnemonic pentru --set-xmark 0/invbiți, unde invbiți
este negația binară a lui biți).

--or-mark biți
Evaluează OR logic al nfmark-ului cu biți; (mnemonic pentru --set-xmark biți/biți.)

--xor-mark biți
Evaluează XOR logic al nfmark-ului cu biți; (mnemonic pentru --set-xmark biți/0.)

MASQUERADE
Această țintă este valabilă numai în tabelul nat, în lanțul POSTROUTING. Aceasta trebuie utilizată numai
în cazul conexiunilor IP alocate dinamic (dialup): dacă aveți o adresă IP statică, trebuie să utilizați
ținta SNAT. Mascarea este echivalentă cu specificarea unei corespondențe cu adresa IP a interfeței pe
care pleacă pachetul, dar are, de asemenea, efectul că conexiunile sunt uitate atunci când interfața
cade. Acesta este comportamentul corect atunci când este puțin probabil ca următorul dialup să aibă
aceeași adresă de interfață (și, prin urmare, orice conexiune stabilită este oricum pierdută).

--to-ports port[-port]
Aceasta specifică un interval de porturi sursă care urmează să fie utilizate, înlocuind euristica
implicită de selectare a porturilor sursă SNAT (a se vedea mai sus). Acest lucru este valabil
numai dacă regula specifică de asemenea unul dintre următoarele protocoale: tcp, udp, dccp sau
sctp.

--random
Face aleatorie cartografierea porturilor sursă (nucleu >= 2.6.21). Începând cu nucleul 5.0,
--random este identică cu --random-fully.

--random-fully
Face complet aleatorie cartografierea porturilor sursă (nucleu >= 3.13).

Suport IPv6 disponibil de la nucleele Linux >= 3.7.

NETMAP
Această țintă vă permite cartografierea statică a unei întregi rețele de adrese pe o altă rețea de
adrese. Aceasta poate fi utilizată numai din regulile din tabelul nat.

--to adresa[/masca]
Adresa de rețea la care se face cartografierea. Adresa rezultată va fi construită în felul
următor: Toți biții „unu” din mască sunt introduși din noua „adresă”. Toți biții zero din mască
sunt introduși din adresa originală.

Suport IPv6 disponibil de la nucleele Linux >= 3.7.

NFLOG
Această țintă asigură înregistrarea în jurnal a pachetelor corespunzătoare. Atunci când această țintă
este definită pentru o regulă, nucleul Linux va transmite pachetul către sistemul de jurnalizare încărcat
pentru a înregistra pachetul. Aceasta este de obicei utilizată în combinație cu nfnetlink_log ca sistem
de jurnalizare, care va multidifuza pachetul printr-un soclu netlink către grupul de multidifuzare
specificat. Unul sau mai multe procese din spațiul utilizatorilor se pot abona la grup pentru a primi
pachetele. La fel ca LOG, acesta este un obiectiv non-terminant, adică parcurgerea regulii continuă la
următoarea regulă.

--nflog-group nlgroup
Grupul netlink (0 - 2^16-1) către care sunt direcționate pachetele (aplicabil numai pentru
nfnetlink_log). Valoarea implicită este 0.

--nflog-prefix prefix
Un șir de prefixe de inclus în mesajul jurnal, cu o lungime de până la 64 de caractere, util
pentru a distinge mesajele din jurnale.

--nflog-range dimensiune
Această opțiune nu a funcționat niciodată, folosiți în schimb „--nflog-size”

--nflog-size dimensiune
Numărul de octeți care urmează să fie copiați în spațiul utilizatorului (aplicabil numai pentru
nfnetlink_log). Instanțele nfnetlink_log își pot specifica propriul interval, această opțiune îl
înlocuiește.

--nflog-threshold dimensiune
Numărul de pachete care trebuie puse la coadă în interiorul nucleului înainte de a fi trimise
către spațiul utilizatorilor (aplicabil numai pentru nfnetlink_log). Valorile mai mari au ca
rezultat mai puțină încărcare per pachet, dar cresc întârzierea până când pachetele ajung în
spațiul utilizatorilor. Valoarea implicită este 1.

NFQUEUE
Această țintă transmite pachetul către spațiul utilizatorilor utilizând gestionarul nfnetlink_queue.
Pachetul este pus în coada identificată prin numărul său de coadă pe 16 biți. Spațiul utilizatorilor
poate inspecta și modifica pachetul, dacă se dorește. Spațiul utilizatorilor trebuie apoi să elimine sau
să reinjecteze pachetul în nucleu. Vă rugăm să consultați libnetfilter_queue pentru detalii.
nfnetlink_queue a fost adăugat în Linux 2.6.14. Opțiunea queue-balance a fost adăugată în Linux 2.6.31,
queue-bypass în 2.6.39.

--queue-num valoare
Specifică numărul de coadă care urmează să fie utilizat. Numerele de coadă valabile sunt de la 0
la 65535. Valoarea implicită este 0.

--queue-balance valoare:valoare
Aceasta specifică o serie de cozi de așteptare care urmează să fie utilizate. Pachetele sunt apoi
echilibrate între cozile date. Acest lucru este util pentru sistemele multi-nucleu: pornește mai
multe instanțe ale programului din spațiul utilizatorului pe cozile x, x+1, .. x+n și utilizați
„--queue-balance x:x+n”. Pachetele care aparțin aceleiași conexiuni sunt plasate în aceeași
nfqueue. Datorită detaliilor de implementare, o valoare inferioară a intervalului de 0 limitează
valoarea superioară a intervalului la 65534, adică nu se poate echilibra decât între cel mult
65535 de cozi.

--queue-bypass
În mod implicit, dacă niciun program din spațiul utilizatorului nu ascultă un NFQUEUE, atunci
toate pachetele care urmează să fie puse în coadă sunt abandonate. Atunci când se utilizează
această opțiune, regula NFQUEUE se comportă în schimb ca ACCEPT, iar pachetul va trece la
următorul tabel.

--queue-cpu-fanout
Disponibilă începând cu nucleul Linux 3.10. Atunci când este utilizată împreună cu
--queue-balance, aceasta va utiliza ID-ul CPU ca index pentru alocarea pachetelor la cozi. Ideea
este că vă puteți îmbunătăți performanța dacă există o coadă pentru fiecare CPU. Pentru aceasta
este necesar ca --queue-balance să fie specificată.

NOTRACK
Această extensie dezactivează urmărirea conexiunilor pentru toate pachetele care corespund regulii
respective. Este echivalentă cu „-j CT --notrack”. Ca și CT, NOTRACK poate fi utilizată numai în tabelul
raw.

RATEEST
Ținta RATEEST colectează statistici, efectuează calculul de estimare a ratei și salvează rezultatele
pentru o evaluare ulterioară utilizând corespondența rateest.

--rateest-name nume
Numără pachetele potrivite în grupul menționat de nume, care poate fi ales liber.

--rateest-interval cantitatea-de-timp{s|ms|us}
Intervalul de măsurare a ratei, în secunde, milisecunde sau microsecunde.

--rateest-ewmalog valoare
Constanta de timp a mediei de măsurare a ratei.

REDIRECT
Această țintă este valabilă numai în tabelul nat, în lanțurile PREROUTING și OUTPUT și în lanțurile
definite de utilizator care sunt apelate numai din aceste lanțuri. Aceasta redirecționează pachetul către
mașina în sine prin schimbarea IP-ului de destinație cu adresa primară a interfeței de intrare (pachetele
generate local sunt mapate la adresa localhost, 127.0.0.1 pentru IPv4 și ::1 pentru IPv6, iar pachetele
care sosesc pe interfețe care nu au o adresă IP configurată sunt abandonate).

--to-ports port[-port]
Specifică un port de destinație sau un interval de porturi de utilizat: fără această indicație,
portul de destinație nu este modificat niciodată. Acest lucru este valabil numai dacă regula
specifică, de asemenea, unul dintre următoarele protocoale: tcp, udp, dccp sau sctp. Pentru un
singur port, se poate utiliza un nume de serviciu așa cum este listat în /etc/services.

--random
Alocarea aleatorie a porturilor sursă (nucleu >= 2.6.22).

Suport IPv6 disponibil începând cu nucleele Linux >= 3.7.

REJECT (specific IPv6)
Aceasta este utilizată pentru a trimite înapoi un pachet de eroare ca răspuns la pachetul corespunzător:
în caz contrar, este echivalentă cu DROP, deci este o ȚINTĂ terminală, care încheie parcurgerea
regulilor. Această țintă este valabilă numai în lanțurile INPUT, FORWARD și OUTPUT și în lanțurile
definite de utilizator care sunt apelate numai din aceste lanțuri. Următoarea opțiune controlează natura
pachetului de erori returnat:

--reject-with tip
Tipul dat poate fi icmp6-no-route, no-route, icmp6-adm-prohibited, adm-prohibited,
icmp6-addr-unreachable, addr-unreach, sau icmp6-port-unreachable, care returnează mesajul de
eroare ICMPv6 corespunzător (icmp6-port-unreachable este implicit). În cele din urmă, opțiunea
tcp-reset poate fi utilizată pentru regulile care corespund doar protocolului TCP: aceasta
determină trimiterea înapoi a unui pachet TCP RST. Această opțiune este utilă în principal pentru
blocarea sondajelor ident (113/tcp) care apar frecvent la trimiterea de e-mail către gazde de
e-mail defecte (care altfel nu vă vor accepta e-mailul). tcp-reset poate fi utilizat numai cu
versiunile de nucleu 2.6.14 sau mai recente.

Avertisment: Nu trebuie să aplicați în mod nediscriminatoriu ținta REJECT pachetelor a căror stare de
conexiune este clasificată ca INVALID; în schimb, trebuie să le înlăturați „DROP” numai pe acestea.

Să luăm în considerare o gazdă sursă care transmite un pachet P, P înregistrând o întârziere atât de mare
de-a lungul traseului său încât gazda sursă emite o retransmisie, P_2, P_2 reușind să ajungă la
destinație și avansând în mod normal în starea conexiunii. Se poate concepe ca P care ajunge cu
întârziere să fie considerat ca nefiind asociat cu nicio intrare de urmărire a conexiunii. Generarea unui
răspuns de respingere pentru un pachet astfel clasificat ar pune capăt conexiunii „sănătoase”.

Așadar, în loc de:

-A INPUT ... -j REJECT

luați în considerare utilizarea:

-A INPUT ... -m conntrack --ctstate INVALID -j DROP
-A INPUT ... -j REJECT

REJECT (specific IPv4)
Aceasta este utilizată pentru a trimite înapoi un pachet de eroare ca răspuns la pachetul corespunzător:
în caz contrar, este echivalentă cu DROP, deci este o ȚINTĂ terminală, care încheie parcurgerea
regulilor. Această țintă este valabilă numai în lanțurile INPUT, FORWARD și OUTPUT și în lanțurile
definite de utilizator care sunt apelate numai din aceste lanțuri. Următoarea opțiune controlează natura
pachetului de erori returnat:

--reject-with tip
Tipul dat poate fi icmp-net-unreachable, icmp-host-unreachable, icmp-port-unreachable,
icmp-proto-unreachable, icmp-net-prohibited, icmp-host-prohibited, sau icmp-admin-prohibited (*),
care returnează mesajul de eroare ICMP corespunzător (icmp-port-unreachable este implicit).
Opțiunea tcp-reset poate fi utilizată pentru regulile care corespund numai protocolului TCP:
aceasta determină trimiterea înapoi a unui pachet TCP RST. Această opțiune este utilă în principal
pentru blocarea sondajelor ident (113/tcp) care apar frecvent la trimiterea de e-mail către gazde
de e-mail defecte (care altfel nu vă acceptă e-mailul).

(*) Utilizarea icmp-admin-prohibited cu nuclee care nu oferă suport pentru aceasta va duce la un
simplu DROP în loc de REJECT

Așadar, în loc de:

-A INPUT ... -j REJECT

luați în considerare utilizarea:

-A INPUT ... -m conntrack --ctstate INVALID -j DROP
-A INPUT ... -j REJECT

SECMARK
Se utilizează pentru a stabili valoarea marcajului de securitate asociat pachetului pentru a fi utilizat
de subsistemele de securitate, cum ar fi SELinux. Este valabilă în tabelul security (pentru
compatibilitatea cu nucleele mai vechi, este valabilă și în tabelul mangle). Marca are o lățime de 32 de
biți.

--selctx context-securitate

SET
Acest modul adaugă și/sau șterge intrări din seturile IP care pot fi definite prin ipset(8).

--add-set nume-set fanion[,fanion...]
adaugă adresa(adresele)/portul(porturile) pachetului la set

--del-set nume-set fanion[,fanion...]
șterge adresa(adresele)/portul(porturile) pachetului din set

--map-set nume-set fanion[,fanion...]
[--map-mark] [--map-prio] [--map-queue] proprietățile pachetului de hartă (marca paravanului de
protecție, prioritatea tc, coada hardware)

unde fanioane sunt specificații src și/sau dst și nu pot fi mai mult de șase.

--timeout valoare
atunci când se adaugă o intrare, valoarea timpului de așteptare care trebuie utilizată în locul
celei implicite din definiția setului

--exist
atunci când se adaugă o intrare, valoarea timpului de așteptare care trebuie utilizată în locul
celei implicite din definiția setului

--map-setnume-set
nume-set trebuie creat cu opțiunea „--skbinfo”, opțiunea --map-mark cartografiază marcajul
paravanului de protecție la pachet prin căutarea valorii în set, opțiunea --map-prio cartografiază
prioritatea controlului traficului la pachet prin căutarea valorii în set, opțiunea --map-queue
cartografiază coada hardware NIC la pachet prin căutarea valorii în set

Opțiunea --map-set poate fi utilizată numai din tabelul mangle. Fanioanele --map-prio și
--map-queue pot fi utilizate în lanțurile OUTPUT, FORWARD și POSTROUTING.

Utilizarea opțiunii „-j SET” necesită existența suportului ipset oferit de nucleu, ceea ce, pentru
nucleele standard, este cazul începând cu Linux 2.6.39.

SNAT
Această țintă este valabilă numai în tabelul nat, în lanțurile POSTROUTING și INPUT și în lanțurile
definite de utilizator care sunt apelate numai din aceste lanțuri. Aceasta specifică faptul că adresa
sursă a pachetului trebuie modificată (și toate pachetele viitoare din această conexiune vor fi, de
asemenea, modificate), iar regulile trebuie să înceteze să mai fie examinate. Acceptă următoarele
opțiuni:

--to-source [adresa-ip[-adresa-ip]][:port[-port]]
care poate specifica o singură adresă IP sursă nouă, un interval inclusiv de adrese IP. Opțional,
un interval de porturi, dacă regula specifică și unul dintre următoarele protocoale: tcp, udp,
dccp sau sctp. Dacă nu este specificat niciun interval de porturi, atunci porturile sursă sub 512
vor fi asociate cu alte porturi sub 512: cele între 512 și 1023 inclusiv vor fi asociate cu
porturi sub 1024, iar alte porturi vor fi asociate cu porturi 1024 sau mai mari. Atunci când este
posibil, nu va avea loc nicio modificare a porturilor.

--random
Asociază aleatoriu porturile sursă prin intermediul unui algoritm bazat pe hash (nucleu >=
2.6.21).

--random-fully
Asociază complet aleatoriu porturile sursă prin intermediul unui PRNG (nucleu >= 3.14).

Nucleele anterioare versiunii 2.6.36-rc1 nu au capacitatea de a SNAT în lanțul INPUT.

Suport IPv6 disponibil de la nucleele Linux >= 3.7.

SNPT (specific IPv6)
Furnizează traducerea prefixelor de rețea de la sursă IPv6 la IPv6 fără stare (conform descrierii RFC
6296).

Trebuie să utilizați această țintă în tabelul mangle, nu în tabelul nat. Are următoarele opțiuni:

--src-pfx [prefix/lungime]
Definește prefixul sursă pe care doriți să îl traduceți și lungimea

--dst-pfx [prefix/lungime]
Definește prefixul destinație pe care doriți să îl traduceți și lungimea

Trebuie să utilizați ținta DNPT pentru a anula traducerea. Exemplu:

ip6tables -t mangle -I POSTROUTING -s fd00::/64 ! -o vboxnet0 -j SNPT --src-pfx fd00::/64
--dst-pfx 2001:e20:2000:40f::/64

ip6tables -t mangle -I PREROUTING -i wlan0 -d 2001:e20:2000:40f::/64 -j DNPT --src-pfx
2001:e20:2000:40f::/64 --dst-pfx fd00::/64

Este posibil să fie necesar să activați un server proxy IPv6 învecinat:

sysctl -w net.ipv6.conf.all.proxy_ndp=1

De asemenea, trebuie să utilizați ținta NOTRACK pentru a dezactiva urmărirea conexiunilor pentru
fluxurile traduse.

SYNPROXY
Această țintă va procesa negocierea TCP pe trei direcții (TCP three-way-handshake) în paralel în
contextul netfilter pentru a proteja sistemul local sau sistemul serverului. Această țintă necesită
urmărirea conexiunii deoarece numerele de secvență trebuie traduse. Capacitatea nucleelor de a absorbi
SYNFLOOD a fost mult îmbunătățită începând cu Linux 4.4, astfel încât această țintă nu ar trebui să mai
fie necesară pentru a proteja serverele Linux.

--mss dimensiunea-maximă-a-segmentului
Dimensiunea maximă a segmentului anunțată clienților. Aceasta trebuie să corespundă cu interfața
internă.

--wscale scala-ferestrei
Scala ferestrei anunțată clienților. Aceasta trebuie să corespundă cu interfața internă.

--sack-perm
Transmite opțiunea de confirmare selectivă a clientului către interfața internă (va fi dezactivată
dacă nu este prezentă).

--timestamps
Transmite opțiunea de marcă temporală „timestamp” a clientului către interfața internă (va fi
dezactivată dacă nu este prezentă, necesară și pentru confirmarea selectivă și scalarea
ferestrei).

Exemplu:

Determină opțiunile tcp utilizate de interfața internă, de la un sistem extern

tcpdump -pni eth0 -c 1 'tcp[tcpflags] == (tcp-syn|tcp-ack)'
port 80 &
telnet 192.0.2.42 80
18:57:24.693307 IP 192.0.2.42.80 > 192.0.2.43.48757:
Flags [S.], seq 360414582, ack 788841994, win 14480,
options [mss 1460,sackOK,
TS val 1409056151 ecr 9690221,
nop,wscale 9],
length 0

Dezactivează modul tcp_loose, astfel încât conntrack să marcheze pachetele în afara fluxului ca fiind în
starea INVALID.

echo 0 > /proc/sys/net/netfilter/nf_conntrack_tcp_loose

Face pachetele SYN să nu fie urmărite

iptables -t raw -A PREROUTING -i eth0 -p tcp --dport 80
--syn -j CT --notrack

Captează stările UNTRACKED (pachete SYN) și INVALID (pachete 3WHS ACK) și le trimite la SYNPROXY. Această
regulă va răspunde la pachetele SYN cu syncookies SYN+ACK, va crea ESTABLISHED pentru răspunsul valid al
clientului (pachete 3WHS ACK) și va elimina cookie-urile incorecte. Combinațiile de fanioane care nu sunt
așteptate în timpul 3WHS nu se vor potrivi și vor continua (de exemplu SYN+FIN, SYN+ACK).

iptables -A INPUT -i eth0 -p tcp --dport 80
-m state --state UNTRACKED,INVALID -j SYNPROXY
--sack-perm --timestamp --mss 1460 --wscale 9

Înlătură pachetele nevalide, acestea vor fi pachete în afara fluxului care nu au fost potrivite de
SYNPROXY.

iptables -A INPUT -i eth0 -p tcp --dport 80 -m state --state INVALID -j DROP

TCPMSS
Această țintă modifică valoarea MSS a pachetelor TCP SYN, pentru a controla dimensiunea maximă a
conexiunii respective (limitând-o de obicei la MTU-ul interfeței de ieșire minus 40 pentru IPv4 sau 60
pentru IPv6, respectiv). Desigur, aceasta poate fi utilizată numai în combinație cu -p tcp.

Această țintă este utilizată pentru a depăși ISP-urile sau serverele criminale care blochează pachetele
„ICMP Fragmentation Needed” sau „ICMPv6 Packet Too Big”. Simptomele acestei probleme sunt că totul
funcționează bine din paravanul de protecție/router-ul Linux, dar mașinile din spatele acestuia nu pot
schimba niciodată pachete mari:

1. Navigatoarele web se conectează, apoi se blochează fără a primi date.

2. E-mailurile mici funcționează bine, dar e-mailurile mari se blochează.

3. ssh funcționează bine, dar scp se blochează după negocierea inițială.

Soluție: activați această opțiune și adăugați o regulă la configurația paravanului de protecție, cum ar
fi:

iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN
-j TCPMSS --clamp-mss-to-pmtu

--set-mss valoare
Stabilește explicit opțiunea MSS la valoarea specificată. Dacă MSS al pachetului este deja mai mic
decât valoarea, aceasta nu va fi mărită (începând cu Linux 2.6.25) pentru a evita mai multe
probleme cu gazdele care se bazează pe un MSS adecvat.

--clamp-mss-to-pmtu
Fixează automat valoarea MSS la (path_MTU - 40 pentru IPv4; -60 pentru IPv6). Este posibil ca
această opțiune să nu funcționeze așa cum se dorește în cazul în care există rute asimetrice cu
MTU de rute diferite - nucleul utilizează MTU de rute pe care l-ar utiliza pentru a trimite
pachete de la sine la adresele IP sursă și destinație. Înainte de Linux 2.6.25, această opțiune
lua în considerare numai MTU-ul rutei către adresa IP de destinație; nucleele ulterioare iau în
considerare și MTU-ul rutei către adresa IP sursă.

Aceste opțiuni se exclud reciproc.

TCPOPTSTRIP
Această țintă va elimina opțiunile TCP dintr-un pachet TCP; (de fapt, le va înlocui cu NO-OPs). Ca atare,
va trebui să adăugați parametrii -p tcp.

--strip-options opțiune[,opțiune...]
Elimină opțiunea (opțiunile) dată (date). Opțiunile pot fi specificate prin numărul opțiunii TCP
sau prin nume simbolic. Lista opțiunilor recunoscute poate fi obținută apelând iptables cu -j
TCPOPTSTRIP -h.

TEE
Ținta TEE va clona un pachet și va redirecționa această clonă către o altă mașină de pe segmentul de
rețea local. Cu alte cuvinte, nexthop-ul (saltul următor) trebuie să fie ținta, sau va trebui să
configurați nexthop-ul pentru a-l redirecționa mai departe, dacă doriți.

--gateway adresa-ip
Trimite pachetul clonat către gazda care poate fi atinsă la adresa IP dată. Utilizarea 0.0.0.0
(pentru pachetele IPv4) sau :: (IPv6) nu este valabilă.

Pentru a redirecționa tot traficul de intrare de pe eth0 către un sistem de jurnalizare la nivel de
rețea:

-t mangle -A PREROUTING -i eth0 -j TEE --gateway 2001:db8::1

TOS
Acest modul stabilește câmpul Type of Service (tipul de serviciu) din antetul IPv4 (inclusiv biții
„precedence”) sau câmpul Priority din antetul IPv6. Rețineți că TOS împarte aceiași biți ca DSCP și ECN.
Ținta TOS este valabilă numai în tabelul mangle.

--set-tos valoare[/masca]
Reduce la zero biții indicați de masca (a se vedea NOTA de mai jos) și EVALUEAZĂ CU XOR LOGIC
valoarea în câmpul TOS/Priority. Dacă masCA este omisă, se presupune 0xFF.

--set-tos simbol
Puteți specifica un nume simbolic atunci când utilizați ținta TOS pentru IPv4. Aceasta implică o
mască de 0xFF (a se vedea NOTA de mai jos). Lista de nume TOS recunoscute poate fi obținută
apelând iptables cu -j TOS -h.

Sunt disponibile următoarele mnemonice:

--and-tos biți
Evaluează AND logic al valorii TOS cu biți; (mnemonic pentru --set-tos 0/invbiți, unde invbiți
este negația binară a lui biți. A se vedea NOTA de mai jos).

--or-tos biți
Evaluează OR logic al valorii TOS cu biți; (mnemonic pentru --set-tos biți/biți. A se vedea NOTA
de mai jos).

--xor-tos biți
Evaluează XOR logic al valorii TOS cu biți; (mnemonic pentru --set-tos biți/0. A se vedea NOTA de
mai jos).

NOTĂ: În nucleele Linux până la și inclusiv 2.6.38, cu excepția versiunilor pe termen lung 2.6.32
(>=.42), 2.6.33 (>=.15) și 2.6.35 (>=.14), există o eroare prin care manipularea TOS IPv6 nu se comportă
conform documentației și diferă de versiunea IPv4. Masca TOS indică biții care trebuie eliminați, deci
trebuie inversată înainte de a fi aplicată câmpului TOS original. Cu toate acestea, nucleele menționate
anterior renunță la inversare, ceea ce rupe „--set-tos” și mnemonicele sale.

TPROXY
Această țintă este valabilă numai în tabelul mangle, în lanțul PREROUTING și în lanțurile definite de
utilizator care sunt apelate numai din acest lanț. Aceasta redirecționează pachetul către un soclu local
fără a modifica în niciun fel antetul pachetului. De asemenea, poate modifica valoarea mărcii care poate
fi apoi utilizată în reguli avansate de direcționare. Acceptă trei opțiuni:

--on-port port
Specifică un port de destinație care urmează să fie utilizat. Este o opțiune obligatorie, 0
înseamnă că noul port de destinație este același cu cel original. Aceasta este valabilă numai dacă
regula specifică și -p tcp sau -p udp.

--on-ip adresa
Aceasta specifică o adresă de destinație de utilizat. În mod implicit, adresa este adresa IP a
interfeței de intrare. Aceasta este valabilă numai dacă regula specifică și -p tcp sau -p udp.

--tproxy-mark valoare[/masca]
Marchează pachetele cu valoarea/masca dată. Valoarea fwmark definită aici poate fi utilizată de
direcționarea avansată; (necesar pentru ca proxy-ul transparent să funcționeze: în caz contrar,
aceste pachete vor fi redirecționate, ceea ce probabil nu este ceea ce doriți).

TRACE
Această țintă marchează pachetele astfel încât nucleul va înregistra fiecare regulă care se potrivește
pachetelor pe măsură ce acestea parcurg tabelele, lanțurile, regulile. Aceasta poate fi utilizată numai
în tabelul raw.

Cu iptables-legacy, trebuie încărcat un sistem de jurnalizare, cum ar fi ip(6)t_LOG sau nfnetlink_log,
pentru ca acest lucru să fie vizibil. Pachetele sunt înregistrate cu prefixul: „TRACE:
tablename:chainname:type:rulenum” unde tipul poate fi «rule» pentru regula simplă, «return» pentru regula
implicită de la sfârșitul unui lanț definit de utilizator și «policy» pentru politica lanțurilor
integrate.

Cu iptables-nft, ținta este tradusă în expresia meta nftrace a nftables. Prin urmare, nucleul trimite
evenimente de urmărire prin netlink către spațiul utilizatorului, unde acestea pot fi afișate cu ajutorul
comenzii xtables-monitor --trace. Pentru detalii, consultați xtables-monitor(8).

TTL (specific IPv4)
Aceasta este utilizată pentru a modifica câmpul TTL al antetului IPv4. Câmpul TTL determină câte salturi
(routere) poate traversa un pachet până când timpul său de viață este depășit.

Stabilirea sau incrementarea câmpului TTL poate fi foarte periculoasă, astfel încât ar trebui evitată cu
orice preț. Această țintă este valabilă numai în tabelul mangle.

Nu stabiliți sau nu incrementați niciodată valoarea pe pachetele care părăsesc rețeaua locală!

--ttl-set valoare
Stabilește valoarea TTL la „valoare”.

--ttl-dec valoare
Reduce valoarea TTL de „valoare” ori.

--ttl-inc valoare
Crește valoarea TTL de „valoare” ori.

ULOG (specific IPv4)
Acesta este predecesorul depreciat ipv4-only al țintei NFLOG. Acesta asigură înregistrarea în spațiul
utilizatorului a pachetelor corespunzătoare. Atunci când această țintă este definită pentru o regulă,
nucleul Linux va multidifuza acest pachet prin intermediul unui soclu netlink. Unul sau mai multe procese
din spațiul utilizatorilor se pot abona apoi la diverse grupuri de multidifuzare și pot primi pachetele.
Ca și LOG, aceasta este o „țintă non-terminantă”, adică parcurgerea regulii continuă la următoarea
regulă.

--ulog-nlgroup nlgroup
Specifică grupul netlink (1-32) către care este trimis pachetul. Valoarea implicită este 1.

--ulog-prefix prefix
Prefixează mesajele din jurnal cu prefixul specificat; are o lungime de până la 32 de caractere și
este util pentru a distinge mesajele din jurnale.

--ulog-cprange dimensiune
Numărul de octeți care urmează să fie copiați în spațiul utilizatorului. O valoare de 0 copiază
întotdeauna întregul pachet, indiferent de dimensiunea acestuia. Valoarea implicită este 0.

--ulog-qthreshold dimensiune
Numărul de pachete de pus în coadă în interiorul nucleului. Stabilirea acestei valori la, de
exemplu, 10 acumulează zece pachete în interiorul nucleului și le transmite ca un mesaj multiparte
netlink către spațiul utilizatorilor. Valoarea implicită este 1 (pentru compatibilitate
retroactivă).

TRADUCERE

       Traducerea   în   limba   română   a   acestui   manual   a   fost   făcută   de   Remus-Gabriel    Chelu
       <remusgabriel.chelu@disroot.org>

       Această  traducere  este  documentație  gratuită;  citiți  Licența publică generală GNU Versiunea 3 sau o
       versiune  ulterioară  cu  privire  la  condiții  privind  drepturile  de  autor.   NU  se   asumă   NICIO
       RESPONSABILITATE.

       Dacă  găsiți  erori  în  traducerea  acestui manual, vă rugăm să trimiteți un e-mail la translation-team-
       ro@lists.sourceforge.net.

iptables 1.8.11                                                                           iptables-extensions(8)